Reglementation · 6 min de lecture
NIS2 : ce que les MSP doivent deployer pour leurs clients en 2026
Par Equipe Cyna · Publie le
La directive NIS2 est entree en application dans les Etats membres de l’Union europeenne. Elle elargit considerablement le perimetre de la precedente directive NIS : environ 160 000 entites sont desormais concernees en Europe, contre 15 000 avec NIS1.
Pour les MSP, c’est une double exposition : leurs clients doivent se mettre en conformite, et les MSP eux-memes sont classes comme fournisseurs de services numeriques critiques. Voici les 5 chantiers prioritaires.
1. Gouvernance et responsabilite de la direction
NIS2 impose que la direction generale soit formee aux risques cyber et engage sa responsabilite personnelle en cas de manquement. Un DPO ou RSSI externalise ne suffit plus : le comite executif doit pouvoir documenter ses decisions.
2. Detection et reponse aux incidents 24/7
Les entites doivent detecter, analyser et reagir aux incidents de securite en continu. Un SOC managé est le moyen le plus realiste pour les PME clientes d’un MSP : l’internalisation demande des equipes de 8 a 12 personnes, hors de portee pour la majorite des organisations.
Detection 24/7
Correlation et triage des alertes en continu, y compris nuits et week-ends.
Reponse sous SLA
Prise en charge d'un incident critique en moins de 15 minutes.
Investigation forensique
Capacite a retracer un incident pour l'autorite de controle.
3. Notification d’incident sous 24 heures
Tout incident significatif doit etre notifie a l’autorite nationale competente (ANSSI en France) dans les 24 heures suivant sa detection, avec un rapport detaille sous 72 heures.
Ce delai est irrealiste sans outillage dedie. Un SOC managé produit automatiquement la timeline de l’incident, ce qui permet au RSSI client de transmettre la notification dans les temps.
4. Gestion des risques de la chaine d’approvisionnement
NIS2 impose d’evaluer et de surveiller les risques lies aux fournisseurs, y compris logiciels (Log4Shell, SolarWinds, MOVEit…). Les MSP doivent pouvoir demontrer la tracabilite de leurs propres sous-traitants et des briques logicielles utilisees chez leurs clients.
5. Tests de resilience et plans de continuite
Les plans de continuite d’activite (PCA) et de reprise apres sinistre (PRA) doivent etre testes regulierement. NIS2 attend une preuve d’exercice, pas un document papier. Les tests de restauration de sauvegardes, les exercices de crise et les simulations d’intrusion (red team) deviennent un standard.
Role du MSP : multiplier la conformite par 10
Un MSP qui industrialise ces 5 chantiers peut les proposer a l’ensemble de ses clients assujettis, sans recruter 100 analystes SOC. C’est le modele que Cyna permet : le MSP conserve la relation client, Cyna opere le SOC en marque blanche.
Pour aller plus loin
- Texte officiel de la directive : EUR-Lex 2022/2555
- Transposition francaise : loi n° 2024-1039 du 14 novembre 2024
- Guide de l’ANSSI : cyber.gouv.fr