Les fournisseurs de services gérés (MSP) et les fournisseurs de services de sécurité gérés (MSSP) constituent un secteur de l’annexe I de NIS2 : « Gestion des services TIC (interentreprises) ». Si vous êtes une moyenne entreprise ou une entreprise plus grande et que vous fournissez des services dans l’UE, vous entrez dans le champ d’application. Les fournisseurs de taille moyenne sont des entités importantes, les grands fournisseurs des entités essentielles. Peu importe que vos clients relèvent eux-mêmes de NIS2 ou non.
Ce guide explique ce qui fait d’une entreprise un MSP, comment la taille détermine votre catégorie, quel pays vous supervise, ce que vous devez enregistrer, les règles de sécurité et de notification, ce que vos clients vont désormais vous demander, et propose une liste de contrôle.
| Question | Réponse pour un MSP ou MSSP | Référence |
|---|---|---|
| Dans le champ d’application ? | Oui, si moyenne entreprise ou plus grande, ou si identifié par un État membre | Article 2, annexe I, point 9 |
| Catégorie | Grande entreprise : essentielle. Moyenne entreprise : importante | Article 3 |
| Supervision | État membre de l’établissement principal dans l’UE | Article 26 |
| Enregistrement auprès de | Votre autorité compétente, qui alimente le registre européen de l’ENISA | Article 27 |
| Règles de sécurité | Article 21 et annexe du règlement d’exécution 2024/2690 | Article 21, paragraphe 5 |
| Quand un incident est important | Articles 3, 4 et 10 du règlement d’exécution 2024/2690 | Article 23, paragraphe 11 |
| Notification | 24 heures, 72 heures, un mois | Article 23 |
| Plafond des amendes | Au moins 10 millions d’euros ou 2 % du chiffre d’affaires (entités essentielles), 7 millions d’euros ou 1,4 % (entités importantes), le montant le plus élevé étant retenu | Article 34 |
Qu’est-ce qu’un fournisseur de services gérés au sens de NIS2 ?
L’article 6, point 39), définit le fournisseur de services gérés comme une entité qui fournit des services « liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou d’autres réseaux et systèmes d’information, par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ». Cela couvre la plupart des services d’infogérance, d’infrastructure gérée et de poste de travail géré.
L’article 6, point 40), définit le fournisseur de services de sécurité gérés comme un MSP qui « effectue ou fournit une assistance pour des activités liées à la gestion des risques en matière de cybersécurité ». Le considérant 86 cite des exemples : la réaction aux incidents, les tests d’intrusion, les audits de sécurité et le conseil.
Les MSP et MSSP entrent-ils dans le champ d’application de NIS2 ?
Oui, selon leur taille. NIS2 s’applique aux entités d’un type visé à l’annexe I ou II qui sont des moyennes entreprises ou qui dépassent cette taille, selon la définition de l’UE figurant dans la recommandation 2003/361/CE (article 2, paragraphe 1).
En pratique, vous échappez à la règle de taille uniquement si vous êtes une petite entreprise ou une microentreprise : moins de 50 personnes, et un chiffre d’affaires annuel ou un total du bilan annuel de 10 millions d’euros ou moins. L’effectif se compte en unités de travail annuel, et les chiffres des entreprises partenaires et des entreprises liées, comme le reste de votre groupe, comptent en général aussi. Un MSP de 30 personnes au sein d’un grand groupe peut donc entrer dans le champ d’application.
La taille n’est pas le seul critère. Un État membre peut identifier un fournisseur de toute taille, par exemple lorsqu’il est le seul fournisseur d’un service essentiel dans ce pays, ou lorsqu’une perturbation de ses services pourrait avoir un impact important sur la sécurité publique ou un effet systémique (article 2, paragraphe 2).
Un MSP est-il une entité essentielle ou une entité importante ?
| Votre taille (définition des PME de l’UE) | Catégorie NIS2 |
|---|---|
| Microentreprise ou petite entreprise | Hors champ, sauf identification par un État membre |
| Moyenne entreprise : moins de 250 personnes, et chiffre d’affaires jusqu’à 50 millions d’euros ou total du bilan jusqu’à 43 millions d’euros | Entité importante, sauf si un État membre l’identifie comme essentielle |
| Au-delà des plafonds des moyennes entreprises | Entité essentielle |
Les obligations sont les mêmes pour les deux catégories. Ce qui change, c’est la supervision et le plafond des amendes. Une entité essentielle peut faire l’objet d’audits réguliers par un organisme indépendant ou par l’autorité. Une entité importante est supervisée a posteriori, lorsque des éléments indiquent qu’elle ne respecte pas ses obligations. La différence est expliquée dans entités essentielles et entités importantes.
Quel pays supervise un MSP ?
Les MSP et MSSP relèvent de la règle de l’établissement principal, prévue à l’article 26, paragraphe 1, point b). Votre établissement principal se trouve dans l’État membre où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité. Si cet État membre ne peut être déterminé, ou si ces décisions ne sont pas prises dans l’UE, c’est celui où vos opérations de cybersécurité sont effectuées. À défaut, c’est l’établissement qui compte le plus grand nombre de salariés dans l’UE.
Un fournisseur qui n’est pas établi dans l’UE mais y offre des services doit désigner un représentant dans l’un des États membres où il offre ses services. Il relève alors de la compétence de ce pays. Le détail figure dans compétence NIS2 et établissement principal.
Quelles informations un MSP doit-il enregistrer ?
Les MSP et MSSP font partie des fournisseurs inscrits au registre européen de l’ENISA (article 27). Vous communiquez à votre autorité compétente votre nom, votre secteur et votre type d’entité, l’adresse de votre établissement principal et de vos autres établissements dans l’UE, vos coordonnées, les États membres dans lesquels vous fournissez des services et vos plages d’IP. La directive fixait au 17 janvier 2025 la date de transmission de ces informations. Toute modification doit être notifiée sans tarder et, en tout état de cause, dans un délai de trois mois. Le point de contact unique transmet les données à l’ENISA, à l’exception des plages d’IP.
Les législations nationales organisent cela de manière différente, souvent au moyen d’un formulaire d’auto-enregistrement. Si vous ne vous êtes pas encore enregistré, faites-le maintenant : l’obligation s’applique toujours.
Quelles exigences de sécurité s’appliquent aux MSP ?
Les dix mesures de l’article 21, expliquées dans l’article 21 de NIS2. Pour les MSP et MSSP, elles sont précisées par le règlement d’exécution (UE) 2024/2690 de la Commission. Son annexe fixe des exigences techniques et méthodologiques en 13 sections, de la politique de sécurité et de la gestion des risques à la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès, la gestion des actifs et la sécurité environnementale et physique.
Pour un MSP, le risque qui compte le plus est la concentration. Un même ensemble d’outils de gestion à distance et de comptes d’administration peut atteindre des centaines d’environnements clients. Le contrôle d’accès, l’authentification à plusieurs facteurs sur les outils de gestion, la séparation entre les environnements clients et la journalisation des sessions d’administration sont les premiers points qu’examineront une autorité comme un client.
Quand un MSP doit-il notifier un incident ?
Lorsque l’incident est important. En vertu de l’article 23, vous adressez à votre CSIRT ou à votre autorité compétente, sans retard injustifié, une alerte précoce dans les 24 heures après en avoir eu connaissance et une notification d’incident dans les 72 heures, un rapport intermédiaire sur demande, et un rapport final dans un délai d’un mois après la notification. Le cas échéant, vous informez aussi les destinataires de vos services, sans retard injustifié.
Le règlement d’exécution (UE) 2024/2690 fixe les critères qui rendent un incident « important ». Certains s’appliquent à tous les fournisseurs qu’il couvre : par exemple, un incident qui cause ou peut causer une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d’affaires annuel, le montant le plus faible étant retenu, ainsi que les incidents récurrents qui remplissent les conditions de son article 4. L’article 10 ajoute des critères propres aux MSP et MSSP, notamment un service géré totalement indisponible pendant plus de 30 minutes, ou dont la disponibilité est limitée pour plus de 5 % de ses utilisateurs dans l’UE (ou plus de 1 million, le plus petit nombre étant retenu) pendant plus d’une heure, ainsi que des données compromises par une action suspectée d’être malveillante. Lorsqu’un incident touche l’environnement d’un client, vous et votre client pouvez tous deux avoir des obligations de notification. Convenez à l’avance de qui notifie quoi. Le calendrier général est présenté dans le calendrier de notification des incidents NIS2.
Qu’attendent désormais les clients de leur MSP ?
Davantage qu’avant, et par écrit. Chaque client qui entre dans le champ d’application doit gérer la sécurité de ses fournisseurs directs et prestataires de services, en vertu de l’article 21, paragraphe 2, point d), et paragraphe 3. Le considérant 86 demande aux entités de faire preuve d’une « diligence renforcée » lorsqu’elles sélectionnent un fournisseur de services de sécurité gérés, car les MSSP sont étroitement intégrés aux activités de leurs clients et ont eux-mêmes été la cible d’attaques.
Attendez-vous à des clauses contractuelles sur les exigences de sécurité, la notification des incidents, les droits d’audit, le traitement des vulnérabilités, la sous-traitance et les conditions de sortie : c’est la liste que le règlement d’exécution fixe pour les contrats avec les fournisseurs. Le point de vue du client est traité dans sécurité de la chaîne d’approvisionnement NIS2. Si vous êtes une petite entreprise et ne relevez pas vous-même de NIS2, les mêmes exigences vous parviennent par ces contrats.
Des changements sont-ils prévus pour les MSP ?
Deux évolutions sont en cours, et aucune n’est encore une obligation légale pour vous.
- Certification des services de sécurité gérés. Le règlement (UE) 2025/37 a modifié le règlement sur la cybersécurité afin que les services de sécurité gérés puissent être certifiés. L’ENISA prépare un schéma candidat (EUMSS) à la demande de la Commission d’avril 2025.
- Modifications de NIS2. Le 20 janvier 2026, la Commission a proposé des modifications ciblées (COM(2026) 13), dont une nouvelle catégorie de « petites entreprises à moyenne capitalisation » destinée à réduire les coûts de mise en conformité, et des règles de compétence simplifiées. Tant qu’elles ne sont pas adoptées et transposées, les règles actuelles s’appliquent.
Où les programmes de conformité des MSP échouent
Les MSP savent faire fonctionner des contrôles, mais peinent à les prouver pour eux-mêmes. Les preuves qu’une autorité ou un client demande sont dispersées entre la plateforme de gestion à distance, le fournisseur d’identité, l’outil de gestion des tickets et chaque tenant client. Rassemblées à la main pour chaque audit et chaque questionnaire, elles coûtent des jours de travail et sont dépassées la semaine suivante.
La meilleure approche consiste à les collecter en continu depuis ces systèmes, par client si nécessaire, et à faire examiner par une personne ce que les données ne permettent pas de trancher. C’est ainsi que fonctionne la plateforme CloudSoul : l’automatisation pour les preuves, l’expertise humaine pour les questions d’appréciation. Pour savoir d’abord où vous en êtes, un audit de sécurité au regard de l’article 21 et du règlement d’exécution est la voie la plus rapide. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle NIS2 pour les MSP et MSSP
- Vérifiez votre taille au regard de la définition des PME de l’UE pour confirmer votre statut d’entité importante ou essentielle.
- Identifiez votre établissement principal et votre autorité compétente.
- Enregistrez-vous, ou vérifiez que votre enregistrement et vos plages d’IP sont à jour.
- Mettez vos contrôles en correspondance avec l’annexe du règlement d’exécution (UE) 2024/2690.
- Imposez l’authentification à plusieurs facteurs et la journalisation des sessions sur chaque outil qui accède aux environnements clients.
- Mettez en place une classification des incidents fondée sur les critères du règlement et le délai de 24 heures.
- Convenez avec chaque client, dans le contrat, des rôles de chacun pour la notification des incidents.
- Préparez un dossier de preuves unique et réutilisable pour les questionnaires et les audits de vos clients.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 21, 23, 26, 27, 32 à 34, annexe I et considérant 86, EUR-Lex.
- Recommandation 2003/361/CE de la Commission, définition des PME, annexe, article 2, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, articles 3, 4 et 10 et annexe, EUR-Lex.
- ENISA, schéma candidat pour les services de sécurité gérés (EUMSS), certification ENISA.
- Commission européenne, questions et réponses sur le paquet cybersécurité, 20 janvier 2026, Shaping Europe’s digital future.
Questions fréquentes
NIS2 s'applique-t-elle aux fournisseurs de services gérés ?
Oui. Les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés figurent à l'annexe I de NIS2, dans le secteur de la gestion des services TIC (interentreprises). Un MSP ou MSSP qui est une moyenne entreprise ou une entreprise plus grande et qui fournit des services dans l'UE entre dans le champ d'application, que ses clients relèvent ou non de NIS2.
Un MSP est-il une entité essentielle ou une entité importante au titre de NIS2 ?
Cela dépend de sa taille. Un MSP qui dépasse les plafonds de l'UE applicables aux moyennes entreprises est une entité essentielle. Un MSP de taille moyenne est une entité importante. Un État membre peut aussi identifier un fournisseur plus petit, par exemple s'il est le seul fournisseur d'un service essentiel.
NIS2 s'applique-t-elle aux petits MSP ?
En général, pas directement. Les petites entreprises et les microentreprises échappent à la règle de taille, sauf si un État membre les identifie. Mais les clients qui entrent dans le champ d'application doivent gérer les risques liés à la chaîne d'approvisionnement : les petits MSP reçoivent donc les mêmes exigences de sécurité par le biais des contrats et des questionnaires.
Quel pays supervise un MSP au titre de NIS2 ?
L'État membre de son établissement principal dans l'UE, c'est-à-dire celui où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité (article 26). Un MSP qui n'est pas établi dans l'UE mais y sert des clients doit désigner un représentant dans un État membre où il offre des services.
Que doit notifier un MSP au titre de NIS2 ?
Les incidents importants qui touchent ses services : une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois. Le règlement d'exécution (UE) 2024/2690 fixe des critères spécifiques pour déterminer quand un incident chez un MSP ou un MSSP est important.
