MSP, MSSP, hébergeurs : vos exigences techniques de sécurité sont déjà écrites.

Beaucoup de prestataires attendent la transposition française de NIS 2 pour savoir ce qu'on va leur demander. C'est une erreur de calendrier : le cahier des charges technique est déjà publié, il est définitif, et il vous nomme explicitement.

Le texte dont personne ne parle

Le règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 établit les exigences techniques et méthodologiques liées aux mesures de gestion des risques de cybersécurité prévues par la directive NIS 2. Son article premier liste les entités visées :

« Fournisseur de services gérés » et « fournisseur de services de sécurité gérés », ce sont les termes du droit européen pour MSP et MSSP. Si vous infogérez le parc d'un client, si vous hébergez, si vous opérez un SOC ou de la supervision, vous êtes nommé dans ce texte.

Et c'est un règlement, pas une directive. Il se termine par la formule qui change tout :

Publié au Journal officiel de l'Union européenne le 18 octobre 2024, il est entré en vigueur le vingtième jour suivant.

Ce qu'il exige exactement en matière de tests

La section 6.5 de l'annexe s'intitule littéralement « Tests de sécurité ». Le point 6.5.2 tient en quatre obligations :

Trois observations qui comptent pour un prestataire.

Le texte ne dit pas « test d'intrusion annuel ». Il dit que c'est vous qui déterminez nécessité, portée, fréquence et type — mais sur la base d'une analyse de risques, donc de façon justifiable. Une fréquence choisie au doigt mouillé ne satisfait pas le point (a).

Le livrable attendu n'est pas une liste de failles. Le point (c) exige le type, la portée, la date, les résultats, et l'évaluation de criticité et les mesures d'atténuation, pour chaque constat. Un export brut de scanner ne contient ni criticité contextualisée ni mesure d'atténuation.

Le point (d) est une obligation de faire, pas de constater. Documenter un constat critique sans y appliquer de mesure d'atténuation vous met en défaut sur ce seul point.

Le point que personne ne lit — et qui décide de tout pour un petit MSP

Avant les tests, la section 2.3 impose des réexamens indépendants. Le point 2.3.2 est le plus lourd de conséquences :

Posez-vous la question littéralement : dans une structure de douze personnes, qui est hors de la ligne hiérarchique de celui qui administre les serveurs ? Le plus souvent, personne. Le dirigeant est au-dessus de tout le monde, l'admin système est seul sur son domaine, et le collègue qui pourrait relire dépend du même responsable.

Le texte a prévu ce cas, et sa réponse est explicite : quand la taille ne permet pas l'indépendance interne, il faut « d'autres mesures pour garantir l'impartialité ». Le recours à un tiers extérieur n'est pas un contournement de la règle — c'est la solution que la règle elle-même désigne.

Le point 2.3.4 fixe ensuite la cadence :

Autrement dit : un rythme défini à l'avance, plus un déclenchement événementiel. Une migration d'infrastructure, un rachat de portefeuille client, un incident sérieux — chacun ouvre une obligation de réexamen.

La nuance honnête : où en est la France

L'ANSSI documente elle-même l'avancement : projet de loi présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat en séance publique les 11 et 12 mars 2025, puis vote en commission spéciale à l'Assemblée nationale le 10 septembre 2025. Aucune loi de transposition n'était promulguée à ce jour. L'ANSSI précise également que « la date d'entrée en vigueur ne correspond pas à la date d'application de l'ensemble des exigences réglementaires qui seront imposées aux entités régulées ».

Donc non : aucun régulateur français ne viendra vous sanctionner sur le fondement du point 6.5.2 demain matin. Ce n'est pas pour autant une raison d'attendre, pour trois raisons concrètes.

• Le cahier des charges ne changera plus. Il est publié, il est définitif. Ce que vous mettez en place aujourd'hui sera exactement ce qui sera exigé demain. C'est rare, et c'est un avantage : vous travaillez sur une cible fixe.
• Vos clients établis ailleurs sont déjà tenus. Plusieurs États membres ont transposé. Une entité régulée qui vous confie son infrastructure doit répercuter ses exigences de sécurité sur sa chaîne d'approvisionnement — et elle vous les demandera par contrat bien avant que la France ne bouge.
• Le coût d'entrée est au plus bas maintenant. Mettre en place une méthode de test documentée et un dossier de preuve sur un parc calme coûte une fraction de ce que coûte la même chose sous la pression d'un appel d'offres perdu ou d'un incident.

Ce que ça donne, concrètement, sur votre parc

Traduit en actions, le règlement demande quatre choses que vous pouvez commencer cette semaine :

Le format du livrable compte autant que le test lui-même. Un rapport qui ne porte ni criticité contextualisée ni mesure d'atténuation ne satisfait pas le point (c), même si le test a été sérieux.

Questions fréquentes

Le règlement 2024/2690 s'applique-t-il à moi si je suis une petite agence web ?

Le texte vise les « fournisseurs de services gérés » et « de services de sécurité gérés ». Une agence qui livre des sites et s'arrête là n'est pas visée à ce titre. Une agence qui infogère ensuite l'hébergement, les mises à jour et la supervision de ses clients exerce, elle, une activité de service géré. La frontière ne tient pas à votre taille ni à votre nom commercial, mais à ce que vous opérez pour autrui de façon continue.

Faut-il un test d'intrusion tous les ans ?

Le règlement ne l'écrit nulle part. Le point 6.5.2 (a) vous demande de déterminer vous-même « la nécessité, la portée, la fréquence et le type » de vos tests — mais sur la base de votre analyse de risques. Ce qui est exigé, ce n'est donc pas une périodicité imposée : c'est de pouvoir justifier celle que vous avez retenue.

Un scan automatisé suffit-il ?

Pas en l'état. Le point 6.5.2 (c) exige, pour chaque constat, l'évaluation de la criticité et les mesures d'atténuation. Un export brut de scanner ne contient ni l'une ni l'autre : il liste des constats probables sans dire lesquels sont réellement atteignables chez vous, ni par quoi commencer. Il faut donc, au minimum, une étape d'analyse qui transforme la liste en constats qualifiés.

Puis-je faire réaliser le réexamen indépendant par mon associé ?

Seulement s'il n'est pas « sous l'autorité hiérarchique du personnel du domaine faisant l'objet du réexamen » (point 2.3.2). Dans une petite structure, cette condition est rarement remplie. Le texte prévoit explicitement ce cas et demande alors « d'autres mesures pour garantir l'impartialité » — le recours à un tiers en est la forme la plus simple à documenter.

Puisque NIS 2 n'est pas transposée en France, je peux attendre ?

Vous pouvez attendre la contrainte, pas le cahier des charges : il est déjà publié et ne bougera plus. Et vos clients établis dans des États membres qui ont transposé sont, eux, déjà tenus de répercuter leurs exigences de sécurité sur leurs prestataires. En pratique, la demande arrive par le contrat commercial avant d'arriver par le régulateur.

Une qualification PASSI est-elle obligatoire pour ce réexamen ?

Le règlement 2024/2690 ne mentionne aucune qualification nationale. Il demande des « personnes possédant les compétences appropriées en matière d'audit ». La qualification PASSI de l'ANSSI relève d'un autre cadre et répond à d'autres cas d'usage ; elle n'est pas une condition posée par ce texte.