Prestataire informatique, agence, MSP : les obligations de sécurité qui vous visent déjà

Vous n'êtes ni une banque, ni un opérateur d'importance vitale. Vous êtes une agence, un MSP, un cabinet de conseil, un éditeur. Et pourtant les questionnaires de sécurité arrivent, les clauses d'audit se durcissent, les appels d'offres exigent des preuves. Cette page recense les régimes qui vous visent réellement — et, pour chacun, ce qu'ils n'exigent pas. Parce que l'essentiel de ce qui circule sur le sujet consiste à faire passer une bonne pratique pour une obligation légale.

Les régimes qui s'empilent, un seul destinataire

Un prestataire informatique français n'est pas soumis à un texte, mais à une pile de régimes qui n'ont ni le même déclencheur, ni la même sanction, ni la même exigence de preuve. Les confondre coûte cher : on surinvestit sur un texte qui ne vise pas, et on découvre trop tard celui qui mord.

RGPD article 28 : le régime qui vous transforme en sous-traitant

Vous êtes sous-traitant au sens du RGPD dès lors que vous traitez des données à caractère personnel pour un client sans en déterminer les finalités. Héberger, infogérer, maintenir une application, router des e-mails : dans la quasi-totalité des cas, vous y êtes.

L'article 28 n'impose aucune mesure technique. Il impose un contrat, et un contenu de contrat : le paragraphe 3 énumère huit engagements, dont deux sont structurants pour un prestataire. Le premier est le droit d'audit du client :

Notez la portée : « ou un autre auditeur qu'il a mandaté » — votre client peut envoyer un tiers. « Contribuer à ces audits » est une obligation d'action, à votre charge. Le règlement ne dit rien de la prise en charge des coûts : c'est au contrat de la prévoir, et beaucoup de contrats ne le font pas.

Le second concerne la sous-traitance ultérieure. Le paragraphe 2 interdit de recruter un autre sous-traitant sans autorisation écrite préalable du responsable du traitement. Le paragraphe 4 impose de répercuter les mêmes obligations, et se clôt sans marge :

Autrement dit : le cloud que vous revendez, l'outil de supervision que vous branchez, le freelance en astreinte — vous en répondez.

Ce que l'article 28 n'exige pas. Aucune certification, aucune qualification d'auditeur, aucune mesure technique nommée. Le paragraphe 5 précise qu'un code de conduite ou une certification « peut servir d'élément pour démontrer » des garanties suffisantes — un moyen de preuve possible, pas une condition d'accès.

RGPD article 32 : allez lire le texte avant de croire ce qu'on vous en dit

C'est l'article qu'on vous cite en appel d'offres pour justifier n'importe quelle exigence. Son paragraphe 1 impose au responsable du traitement et au sous-traitant « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins » — suit une liste de quatre points. Le quatrième est celui qu'on brandit :

Trois observations vérifiables en ouvrant le texte.

• Le terme « test d'intrusion » n'y figure pas. Ni au point d), ni ailleurs dans le chapitre IV du règlement : nous avons cherché l'occurrence, elle n'existe pas.
• Aucune périodicité n'est fixée. « Régulièrement » n'est ni annuel, ni semestriel, ni trimestriel. Qui vous vend un audit en invoquant une obligation annuelle RGPD ajoute au texte.
• La liste est indicative. « Y compris entre autres, selon les besoins » : des exemples, calibrés par le chapeau, qui commande de tenir compte « de l'état des connaissances, des coûts de mise en œuvre » et du risque réel.

Ce que l'article 32 exige, c'est une procédure : une manière régulière et documentée de vérifier que vos mesures fonctionnent encore. Le test d'intrusion en est un moyen, souvent le plus démonstratif, jamais le seul imposé.

La contrepartie est sévère : c'est à vous de démontrer. Le 22 janvier 2026, la CNIL a sanctionné France Travail de 5 000 000 € sur le seul fondement de l'article 32. Vecteur de l'intrusion : le prestataire de support informatique, auprès duquel les attaquants ont obtenu des réinitialisations de mots de passe en se faisant passer pour des employés de Cap Emploi. L'amende a frappé le responsable de traitement, pas le prestataire — mais c'est chez le prestataire que la chaîne a cédé.

Sources : délibérations CNIL SAN-2022-009 et SAN-2026-003, publiées sur Légifrance ; texte consolidé du règlement (UE) 2016/679, chapitre IV, publié par la CNIL.

Règlement d'exécution (UE) 2024/2690 : là, vous êtes nommé

C'est le seul texte de cette page qui désigne votre métier par son nom : son titre au Journal officiel de l'Union européenne vise, parmi d'autres catégories, « les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés ». MSP et MSSP. Adopté le 17 octobre 2024, c'est un règlement — il s'applique sans transposition nationale.

Il fixe des exigences techniques et méthodologiques de gestion du risque, et précise les seuils au-delà desquels un incident est « important ». Le détail est ici : MSP, MSSP, hébergeurs : vos exigences techniques de sécurité sont déjà écrites.

NIS2 en France : ce qui n'est pas encore vrai

Il faut le dire clairement, parce que le marché entretient l'inverse : la directive NIS2 n'est pas transposée en droit français à ce jour. Le calendrier documenté par l'ANSSI : projet de loi présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat en séance publique les 11 et 12 mars 2025, voté en commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le dossier législatif de l'Assemblée, consulté le 20 août 2026, ne fait apparaître aucune étape postérieure au texte de commission n° 1779-A0 : pas de séance publique, pas d'adoption, pas de promulgation.

Ce que l'ANSSI a publié en revanche, le 17 mars 2026, c'est le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2. L'agence le diffuse comme document de travail et « par défaut non-obligatoire » : ceux qui décident de l'appliquer pourront s'en prévaloir en cas de contrôle.

Sources : Sénat, rapport n° 393 de la commission spéciale sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, mars 2025 (synthèse l24-393-syn).

L'obligation par ricochet : le mécanisme qui mord en premier

Dans la pratique, ce n'est presque jamais un régulateur qui vient vous chercher. C'est votre client. Le mécanisme est écrit à l'article 28, paragraphe 1 : le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Cette phrase pèse sur lui, pas sur vous — mais il ne peut la respecter qu'en vous faisant produire la preuve. D'où la chaîne :

1. Le régulateur vise votre clientRGPD, NIS2 une fois transposée, DORA pour le financier, ou sa politique de risque interne.
2. Il doit maîtriser sa chaîneIl ne peut pas démontrer sa conformité sans démontrer la vôtre. Sa charge de preuve devient la vôtre.
3. Il vous l'impose par contratClause d'audit, délais de notification, tests réguliers, parfois pénalités. Le contrat va souvent plus loin que le texte, parce qu'il n'est plafonné par rien.
4. Vous répondez avec ce que vous avezSoit un dossier de preuves à jour, soit trois semaines de délai qui vous font perdre l'appel d'offres.

C'est pour cette raison que les questionnaires de sécurité arrivent chez les agences et les MSP bien avant que le régulateur ne les nomme — et pourquoi un cabinet de conseil qui ne code pas une ligne se voit réclamer les mêmes garanties : il accède aux systèmes.

Obligation de moyens ou de résultat : ce que le droit dit vraiment

C'est la question sur laquelle circulent le plus d'affirmations péremptoires. Le fondement est l'article 1231-1 du code civil :

Ce texte ne qualifie pas d'avance votre obligation. La distinction entre moyens et résultat n'est pas dans le code : c'est une qualification opérée par le juge, au cas par cas, à partir de ce que le contrat stipule. L'enjeu tient en une ligne : sous une obligation de moyens, votre client doit prouver votre faute ; sous une obligation de résultat, l'absence du résultat promis suffit.

Une illustration vérifiable : dans un arrêt du 1er juin 2022 (chambre commerciale, pourvoi n° 20-19.476, décision inédite), la Cour de cassation a retenu une obligation de résultat à la charge d'un éditeur de logiciel — mais en la tirant des stipulations du contrat, qui prévoyaient que le prestataire s'engageait « dans le cadre d'une maîtrise d'œuvre et d'une obligation de résultat ». La difficulté d'exécution invoquée n'a pas suffi à requalifier l'engagement.

Récapitulatif : qui est visé, et jusqu'où

Par où commencer, concrètement

1. Relisez vos contrats clients avant vos serveursClauses d'audit, délais de notification, engagements de test : votre obligation la plus contraignante est là, déjà signée.
2. Cartographiez votre chaîne de sous-traitanceChaque brique tierce que vous revendez ou branchez engage votre responsabilité au titre de l'article 28-4. Vérifiez que les autorisations écrites existent.
3. Écrivez la procédure du 32-1-d avant d'acheter un testUne procédure sans test est incomplète ; un test sans procédure ne prouve rien dans la durée.
4. Constituez un dossier de preuves réutilisableLe même questionnaire revient chez tous vos clients. Un dossier à jour transforme trois semaines de panique en une pièce jointe.

Un scan préliminaire ne remplace aucun de ces quatre points. Il établit un état des lieux daté que vous pouvez opposer à un questionnaire dès le lendemain. Hydra contribue à votre démarche de conformité ; il ne vous met pas en conformité, et personne ne le peut à votre place. Pour ceux qui revendent en marque blanche, la tarification partenaire est dégressive au volume, sur devis.

Sur la preuve, nous nous appliquons ce que nous demandons. Deux références vérifiables : la CVE-2026-12478 (GNOME libsoup, CWE-125), où Red Hat écrit « Red Hat would like to thank Adel Bouachraoui and Gerard Capdevila for reporting this issue » ; et la CVE-2026-28962 (WebKit, advisory Apple 127121, Safari 26.5, 13 mai 2026), dont le crédit est partagé avec cinq autres chercheurs — Apple y liste six noms.