La transposition de la directive NIS 2 en droit français n'est toujours pas votée en octobre 2026 : le projet de loi « Résilience numérique », attendu à l'Assemblée nationale le 7 octobre, a été retiré de l'ordre du jour sans nouvelle date. Pour un MSP, ce report ne change pas l'essentiel : ses clients, eux, posent déjà la question de la sécurité de la chaîne de sous-traitance. Le bon réflexe est d'auditer ses propres fournisseurs maintenant, avec une grille simple.
Ce que l'on appelle un MSP, ou fournisseur de services managés, est une société d'infogérance qui opère tout ou partie du système d'information de ses clients : postes, réseau, messagerie, téléphonie, sauvegarde, cybersécurité. C'est précisément le type d'acteur que la directive NIS 2 regarde de près, car une faille chez le prestataire devient une faille chez tous ses clients.
Une précision change pourtant tout : beaucoup de MSP ne sont plus seulement MSP. Dès qu'ils ajoutent de la téléphonie (Centrex, trunks SIP, Teams Telephony) ou de la connectivité à leur catalogue, sous leur marque et avec leur facturation, ils peuvent relever d'une seconde catégorie, celle des fournisseurs de communications électroniques, parfois sans s'en rendre compte. Cet article traite donc des deux casquettes, celle de MSP et celle d'opérateur télécom B2B, et de ce qu'elles changent.
Cet article fait le point sur ce qui s'est réellement passé à l'Assemblée, explique pourquoi le calendrier législatif est un mauvais indicateur du calendrier commercial, décrit la chaîne de sous-traitance d'un MSP (télécom, facturation, API, hébergement) et propose une grille d'audit fournisseurs ainsi qu'un plan d'action en 30 jours.
Ce qu'il faut retenir
- Statut du texte : le projet de loi n'est pas voté. Retiré de l'ordre du jour de l'Assemblée nationale les 7 et 9 octobre 2026, il n'a pas de nouvelle date ; la prochaine conférence des présidents est prévue le 13 octobre 2026.
- Retard : l'échéance européenne de transposition était le 17 octobre 2024, soit près de deux ans de retard.
- Périmètre : environ 15 000 entités « essentielles » ou « importantes » sont visées en France, contre environ 500 sous NIS 1 (Sénat). Les MSP et MSSP sont cités à l'annexe I de la directive.
- Seuils : au moins 50 employés (entités importantes) ou 250 employés (entités essentielles), selon l'ANSSI. Beaucoup de MSP de 10 à 25 personnes seront donc probablement sous les seuils, mais leurs clients, eux, peuvent être concernés ; et un MSP qui revend aussi de la voix ou de la data sous sa marque peut relever d'une autre catégorie, celle des fournisseurs de communications électroniques, où la taille pourrait ne pas compter (voir la section sur la double casquette, à confirmer dans le texte final).
- Sanctions : jusqu'à 2 % du chiffre d'affaires mondial pour les entités essentielles et 1,4 % pour les entités importantes (ANSSI).
- Action utile maintenant : vérifier son statut avec le simulateur de l'ANSSI, puis auditer ses fournisseurs avec une grille écrite.
Que s'est-il passé à l'Assemblée nationale le 7 octobre 2026 ?
Le projet de loi « Résilience numérique », qui doit transposer la directive européenne NIS 2 en droit français, devait être examiné à l'Assemblée nationale dès le 7 octobre 2026. Il a été retiré de l'ordre du jour pour cause d'« encombrement du calendrier parlementaire ». Le motif officiel avancé est que l'examen de la loi intégrale contre les violences sexuelles et sexistes prend plus de temps que prévu.
Aucune nouvelle date n'est fixée. Le ministère de l'Économie indique que l'inscription « reste d'actualité », et le rapporteur du texte, Éric Bothorel, espère une réinscription d'ici deux ou trois semaines.
Que retenir du calendrier ?
Date | Événement |
|---|---|
7 octobre 2026 | Examen prévu à l'Assemblée nationale, retiré de l'ordre du jour |
Octobre-novembre 2026 | Réinscription espérée par le rapporteur (deux à trois semaines), sans engagement de date |
Date de vote | Non fixée |
Pour rappel, la directive européenne elle-même prévoyait une transposition par les États membres en octobre 2024 (fixée au 17 octobre 2024). La France a donc déjà près de deux ans de retard sur son propre calendrier européen.
Source : ChannelNews, « La transposition de NIS 2 à nouveau repoussée », 9 octobre 2026.
Quelle est la chronologie complète du projet de loi depuis 2024 ?
Date | Étape |
|---|---|
17 octobre 2024 | Échéance européenne de transposition de NIS 2 |
15 octobre 2024 | Dépôt du projet de loi au Sénat, procédure accélérée engagée par le Gouvernement |
12 mars 2025 | Adoption en première lecture par le Sénat |
13 mars 2025 | Transmission à l'Assemblée nationale (projet n° 1112) |
10 septembre 2025 | Dépôt du texte adopté par la commission spéciale de l'Assemblée (505 amendements examinés en commission) |
6 octobre 2026 | La conférence des présidents retire le texte de l'ordre du jour des 7 et 9 octobre |
13 octobre 2026 | Conférence des présidents de l'Assemblée nationale |
Le texte est un projet de loi trois-en-un : il transpose aussi la directive sur la résilience des entités critiques (REC) et la directive DORA sur la résilience opérationnelle du secteur financier. NIS 2 en est le volet qui concerne les MSP.
Sources : dossier législatif de l'Assemblée nationale, Leto, 6 octobre 2026, Sénat, « La loi en clair ».
Un MSP est-il concerné par NIS 2, et pourquoi le report ne change rien pour ses clients ?
La directive NIS 2 (directive (UE) 2022/2555) élargit fortement le périmètre de la cybersécurité réglementée en Europe. Les fournisseurs de services managés (MSP) et de sécurité managés (MSSP) figurent explicitement parmi les acteurs cités à l'annexe I de la directive, au titre de la gestion des services TIC entre entreprises, et la directive impose aux entités concernées de maîtriser la sécurité de leur chaîne d'approvisionnement. Le détail des seuils et des sanctions est donné plus bas, avec les sources officielles ; le périmètre français exact dépendra toutefois du texte final voté.
L'enjeu est avant tout commercial plutôt que juridique.
Pourquoi le calendrier législatif est-il un mauvais indicateur du calendrier client ?
Une loi qui tarde ne fait pas disparaître la demande. Trois mécanismes continuent de jouer, que le texte soit voté en novembre ou en mars :
- Les clients concernés se préparent déjà. Une entité qui sait qu'elle sera soumise à NIS 2 questionne ses prestataires à l'avance, parce qu'elle ne peut pas répondre de sa chaîne de sous-traitance sans eux.
- Les appels d'offres et les questionnaires de sécurité s'allongent. Les donneurs d'ordre reprennent le vocabulaire européen (gestion des risques, notification d'incident, sécurité des fournisseurs) bien avant l'obligation.
- Les assureurs et les directions financières regardent la même chose. Un prestataire qui ne sait pas documenter ses propres fournisseurs est un risque de plus à expliquer.
Résultat : le MSP qui attend le vote pour s'organiser se retrouve à répondre dans l'urgence à des questions posées depuis des mois.
Que gagne un MSP à prendre de l'avance ?
Trois choses concrètes. D'abord un argument commercial : être capable de présenter une cartographie claire de sa chaîne d'outils rassure un client mieux que n'importe quel label. Ensuite une réduction du risque : on découvre aujourd'hui, et non pendant un incident, qu'un fournisseur héberge ses données hors d'Europe ou n'offre aucun moyen d'export. Enfin un gain de temps : une grille d'audit remplie une fois sert pour tous les clients qui poseront la question.
Quels sont les seuils, les catégories d'entités et les sanctions prévus ?
Selon l'ANSSI, NIS 2 couvre 18 secteurs d'activité et distingue deux catégories d'entités. Le Sénat estime à environ 15 000 le nombre d'entités « essentielles » ou « importantes » concernées en France, contre environ 500 infrastructures critiques sous NIS 1.
Catégorie | Critères de taille (ANSSI) | Sanction financière maximale (ANSSI) |
|---|---|---|
Entités essentielles (EE) | Au moins 250 employés, ou chiffre d'affaires supérieur à 50 M€ et bilan supérieur à 43 M€ | Jusqu'à 2 % du chiffre d'affaires mondial |
Entités importantes (EI) | Non essentielles, avec au moins 50 employés, ou chiffre d'affaires et bilan supérieurs à 10 M€ | Jusqu'à 1,4 % du chiffre d'affaires mondial |
Les MSP sont-ils cités explicitement dans la directive ?
Oui. D'après l'annexe I de la directive, telle que la présentent les guides juridiques spécialisés, le secteur de la gestion des services TIC cite les fournisseurs de services managés (MSP) et les fournisseurs de services de sécurité managés (MSSP). Le texte intégral est consultable sur EUR-Lex ; la référence à citer est la directive (UE) 2022/2555 du 14 décembre 2022, entrée en vigueur le 16 janvier 2023.
Pourquoi un MSP sous les seuils est-il malgré tout exposé ?
Parce que l'article 21 de la directive oblige les entités concernées à sécuriser leur chaîne d'approvisionnement et à évaluer la sécurité de leurs fournisseurs et prestataires. Un MSP de 20 personnes peut être sous les seuils tout en ayant pour clients des entités soumises : c'est alors lui, le prestataire, qui doit répondre aux questionnaires. L'exposition passe par le contrat commercial, pas par la loi.
Concerné directement ou indirectement : quelle différence pour un MSP ?
La question « suis-je concerné par NIS 2 ? » recouvre deux situations très différentes. Les confondre amène soit à un faux sentiment de sécurité (« je suis trop petit »), soit à une inquiétude excessive (« je vais être sanctionné »).
Concerné directement | Concerné indirectement | |
|---|---|---|
Définition | L'entité entre elle-même dans le champ de la loi | L'entité n'est pas régulée, mais elle fournit une entité qui l'est |
Qui décide | La loi : secteur, taille, parfois une désignation | Le client, par contrat ou par questionnaire fournisseur |
Critère de taille (ANSSI) | Au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan, dans un secteur visé | Aucun : un prestataire de 4 personnes peut être interrogé |
Enregistrement auprès de l'ANSSI | Oui | Non |
Sanctions de la loi | Oui, jusqu'à 2 % ou 1,4 % du chiffre d'affaires mondial selon la catégorie | Non, mais risque commercial : perte de client ou d'appel d'offres |
Preuves à fournir | Mesures de sécurité, notification d'incident à l'ANSSI | Réponses écrites au client, clauses contractuelles, parfois audit |
Un MSP de 4 salariés est-il concerné ?
Probablement pas directement. Les MSP font partie des secteurs visés, mais avec 4 salariés, une société se situe très en dessous des seuils (50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan), sauf cas particulier. Deux exceptions sont à examiner : les entités pour lesquelles la directive prévoit que la taille ne compte pas (par exemple les fournisseurs de communications électroniques publiques, selon Enreach) et celles qui seraient désignées par l'État. Si le MSP revend aussi de la téléphonie sous sa marque, ce point devient central : voir la section suivante sur la double casquette de MSP et d'opérateur télécom B2B.
Indirectement, oui, et c'est le cas le plus fréquent. Dès qu'un client d'une taille suffisante ou d'un secteur visé doit sécuriser sa chaîne d'approvisionnement, il interroge ses prestataires. SFR Business le rappelle : une entreprise de moins de 50 salariés peut subir des exigences contractuelles si elle travaille pour une entité soumise à NIS 2.
Que doit faire concrètement un MSP de petite taille ?
- Vérifier son statut avec le simulateur de l'ANSSI et garder la capture du résultat.
- Identifier les clients concernés, c'est-à-dire ceux qui ont plus de 50 salariés ou relèvent d'un secteur visé, et anticiper leurs questionnaires.
- Préparer des réponses écrites réutilisables : la grille d'audit de cet article sert aussi à répondre, pas seulement à interroger ses fournisseurs.
- S'appuyer sur le référentiel de l'ANSSI (ReCyF) comme langage commun avec les clients, même s'il n'est pas obligatoire.
Suivre le texte final de la loi : les seuils et exceptions français préciseront la situation.
MSP et opérateur télécom B2B à la fois : quelle double casquette face à NIS 2 ?
Dans la pratique, la frontière entre MSP et opérateur télécom B2B s'est effacée. Un MSP qui gère le poste de travail, la messagerie et la cybersécurité d'un client lui vend aussi, de plus en plus souvent, la téléphonie (Centrex, trunks SIP, Teams Telephony) et la connectivité, achetées chez des grossistes et revendues en marque blanche. Il est alors, aux yeux de ses clients, le fournisseur unique. Aux yeux de la loi, il pourrait être deux choses à la fois.
Dans la pratique, la frontière entre MSP et opérateur télécom B2B s'est effacée. Un MSP qui gère le poste de travail, la messagerie et la cybersécurité d'un client lui vend aussi, de plus en plus souvent, la téléphonie (Centrex, trunks SIP, Teams Telephony) et la connectivité, achetées chez des grossistes et revendues en marque blanche. Il est alors, aux yeux de ses clients, le fournisseur unique. Aux yeux de la loi, il pourrait être deux choses à la fois.
Comment savoir si l'on est un opérateur sans le savoir ?
La question est juridique et il faut la poser à l'Arcep ou à un avocat spécialisé, mais quelques indices aident à se situer. En droit français, la fourniture au public de services de communications électroniques donne lieu à une déclaration auprès de l'Arcep. Vous êtes proche de cette situation si :
- vous êtes l'interlocuteur contractuel du client pour la voix ou la data, et non le grossiste ;
- vous facturez ce service sous votre marque ;
- vous gérez des numéros, des portabilités ou des comptes SIP pour vos clients ;
- vous êtes déjà déclaré comme opérateur, ou un grossiste vous a demandé un statut particulier pour vous fournir ses services.
Si plusieurs de ces points sont vrais, il est prudent de vérifier votre statut avant de supposer que la taille de votre société vous protège.
Quelles conséquences quand on cumule les deux rôles ?
Un MSP qui est aussi opérateur télécom B2B se trouve au milieu d'une chaîne, avec des obligations ou des attentes dans trois directions.
Direction | Qui | Ce qu'on attend de vous |
|---|---|---|
En amont | Grossistes, opérateurs d'infrastructure, hébergeurs | Que vous leur appliquiez la grille d'audit : isolation des flux, fraude sur trunks, journaux d'appels, notification d'incident |
Au centre | Vous-même | Selon votre statut : mesures de sécurité, notification d'incident, éventuel enregistrement auprès de l'ANSSI |
En aval | Vos clients, dont certains sont assujettis | Des réponses écrites sur votre propre sécurité et sur celle de vos fournisseurs de voix et de data |
Deux conséquences pratiques en découlent. D'abord, la chaîne de sous-traitance est double : un incident chez un grossiste de voix devient votre incident, puis celui de votre client. Ensuite, les données de téléphonie que vous manipulez, journaux d'appels et relevés de consommation (CDR), sont des données sensibles qui entrent dans le périmètre de votre propre sécurité.
Que faire quand on est MSP et opérateur télécom B2B ?
- Clarifier son statut télécom : êtes-vous déclaré auprès de l'Arcep ? Votre grossiste vous considère-t-il comme un opérateur ? Notez les réponses.
- Passer le simulateur de l'ANSSI deux fois, une fois en tant que MSP et une fois en tant que fournisseur de communications électroniques, et garder les résultats.
- Cartographier la double chaîne : lister les fournisseurs de la pile informatique et ceux de la voix et de la data.
- Compléter la grille avec les six questions spécifiques voix et data présentées plus bas, dans la section sur les opérateurs voix et data.
- Protéger les données de téléphonie : qui accède aux CDR et aux journaux d'appels, où sont-ils hébergés, combien de temps sont-ils conservés ?
- Faire valider la lecture juridique par l'Arcep, l'ANSSI ou un avocat avant d'écrire « nous ne sommes pas concernés » dans une réponse à un client.
Quels fournisseurs composent la chaîne de sous-traitance d'un MSP ?
Un MSP ne vend jamais un service isolé. Il assemble une pile de briques fournies par des tiers, chacune étant un maillon que ses clients lui demanderont de justifier. Les quatre familles les plus sensibles sont les suivantes.
Télécom et téléphonie
Centrex, trunks SIP, Teams Telephony, fibre : la voix et la connectivité passent par des opérateurs et des grossistes. Les questions à poser portent sur la localisation de l'infrastructure, la redondance, la gestion des incidents et la conservation des données d'appel (CDR). Un journal d'appels est une donnée sensible : il dit qui appelle qui, quand et combien de temps.
Facturation et gestion commerciale
L'outil de facturation concentre les données contractuelles, les volumes de consommation et les coordonnées bancaires de prélèvement SEPA des clients finaux. Il est souvent oublié dans les audits de sécurité alors qu'il contient l'une des cartographies les plus complètes du parc client. C'est aussi lui qui doit continuer à fonctionner un 30 du mois : sa disponibilité est un enjeu de continuité d'activité.
CFAST vous accompagne dans votre objectif de conformité NIS2.
API et intégrations
Chaque intégration entre le PSA, l'outil de facturation, la comptabilité et les grossistes est une porte d'entrée potentielle. Les critères utiles : authentification, journalisation des appels, droits granulaires, documentation à jour et possibilité de révoquer un accès sans casser le reste de la chaîne.
Hébergement et données
Où sont les données, chez qui, sous quel droit applicable, avec quelle sauvegarde et quel plan de reprise ? C'est le terrain de la souveraineté : un fournisseur européen soumis au droit européen n'offre pas les mêmes garanties juridiques qu'un acteur soumis à une juridiction extra-européenne. Un MSP doit être capable de l'expliquer en une phrase à son client.
Pourquoi l'indépendance de l'éditeur compte-t-elle ?
Une autre dimension se cache derrière les questions techniques : la stabilité de l'éditeur lui-même. Un outil racheté, fusionné ou orienté vers d'autres marchés change de feuille de route sans prévenir. CFAST, éditeur de logiciel de facturation pour opérateurs depuis 15 ans, est indépendant depuis 2022 ; c'est une information que nous mettons à disposition de nos clients précisément parce qu'elle fait partie de la grille que nous recommandons ci-dessous.
Les opérateurs télécom sont-ils eux-mêmes soumis à NIS 2 ?
Selon Enreach, les fournisseurs de réseaux ou de services de communications électroniques publiques sont assujettis « quelle que soit leur taille », sans le seuil de 50 salariés ou de 10 M€ de chiffre d'affaires applicable aux autres secteurs ; la même source indique que l'Arcep serait le régulateur sectoriel délégué pour les télécoms, ce qui reste à confirmer dans le texte final. Si cette lecture est confirmée, un petit opérateur VoIP B2B peut être régulé directement, là où un MSP de même taille le serait indirectement. C'est un point décisif pour les fondateurs d'opérateurs, pour les MSP qui les ont pour fournisseurs, et pour les MSP qui revendent eux-mêmes de la voix ou de la data.
Les sources divergent toutefois sur ce point. Un cabinet d'avocats spécialisé liste bien les fournisseurs de réseaux et de services de communications électroniques à l'annexe I, mais précise que d'autres critères, comme le chiffre d'affaires et le nombre de salariés, sont à prendre en compte (Shift Avocats). La question de la taille doit donc être tranchée sur le texte de la directive et sur la loi française finale.
Quelles questions spécifiques poser à un fournisseur de voix ou de data ?
En complément de la grille générale, six questions propres à la voix et aux données :
- Isolation des flux. Les flux voix et data sont-ils séparés (par exemple par des réseaux virtuels dédiés à la voix) et l'isolation entre clients est-elle documentée ?
- Trunks SIP et SBC. Comment sont détectés et escaladés les incidents touchant les trunks SIP ou le contrôleur de session ?
- Fraude téléphonique. Quels mécanismes de détection de la fraude sur les trunks (appels vers des destinations surtaxées, pics anormaux) sont en place, et qui est alerté ?
- Journaux d'appels. Combien de temps les journaux sont-ils conservés, où sont-ils hébergés et qui y accède ?
- Qualifications et certifications. ISO 27001, SOC 2, qualification SecNumCloud pour l'hébergement : lesquelles, sur quel périmètre exact, quelle date de validité ?
- Notification d'incident. Sous quel délai le client est-il prévenu, sachant que ses propres obligations peuvent démarrer par une alerte sous 24 heures ?
Pourquoi la certification de l'hébergeur ne suffit-elle pas ?
Une qualification comme SecNumCloud porte sur un service précis, pas sur l'ensemble de l'offre d'un opérateur. Orange Business, par exemple, l'a obtenue pour deux offres de sa gamme Cloud Avenue, pas pour tous ses services de voix et de données. Un MSP doit donc demander à son fournisseur quel service exactement est couvert, et si c'est celui qu'il consomme.
Quelle grille d'audit fournisseurs utiliser quand on est MSP ?
Grille d’audit fournisseurs NIS 2 de CFAST, 8 critères :
Thème | Question à poser | Ce qu'on attend comme réponse |
|---|---|---|
Hébergement | Où sont hébergées les données, et par quel prestataire ? | Un pays, un hébergeur nommé, le droit applicable |
Gouvernance | Qui détient l'éditeur, et quel est son état d'indépendance ? | Actionnariat clair, absence de changement de contrôle non annoncé |
Réversibilité | Comment récupérer mes données si je pars ? | Export complet ou API documentée, délai, format |
Accès | Comment sont gérés les comptes, les droits et les journaux ? | Droits par rôle, journal d'accès consultable, révocation simple |
Incidents | Que se passe-t-il en cas d'incident, et sous quel délai m'informez-vous ? | Procédure écrite, délai de notification, contact identifié |
Continuité | Quelle sauvegarde, quel plan de reprise, quel objectif de remise en service ? | Fréquence, test de restauration, engagement chiffré |
Sous-traitance | Qui sont vos propres sous-traitants sur ce service ? | Liste des sous-traitants de rang 2 |
Support | Quels horaires, quelle langue, quel canal en cas d'urgence ? | Horaires affichés, support en français, téléphone |
Comment traiter les réponses ?
Une réponse vague est une réponse. Un fournisseur qui ne sait pas dire où sont les données, qui répond « c'est dans le cloud » ou qui promet un export « sur demande » sans format sont des signaux à documenter. Notez chaque réponse, sa date et son interlocuteur : la traçabilité de l'audit compte autant que son résultat.
Quel plan d'action tenir en 30 jours ?
- Semaine 1 : cartographier. Lister tous les fournisseurs de la pile client (télécom, facturation, PSA, sauvegarde, messagerie, API) et classer par criticité.
- Semaine 2 : envoyer la grille aux cinq fournisseurs les plus critiques et fixer un délai de réponse de deux semaines.
- Semaine 3 : analyser les réponses, relever les écarts et identifier les fournisseurs qui n'ont pas répondu.
- Semaine 4 : décider. Pour chaque écart, choisir entre exiger une correction, prévoir une alternative ou accepter le risque par écrit.
- En continu : relire la grille à chaque renouvellement de contrat et après tout incident.
Pour un MSP de 10 à 25 personnes, ce plan occupe quelques heures par semaine, pas un poste à temps plein.
Et CFAST ? Notre réponse à la grille, point par point
Une grille d'audit n'a de valeur que si son auteur l'applique d'abord à lui-même. Voici donc la même grille, remplie par CFAST. Chaque réponse est datée et peut être vérifiée sur demande : si un point n'est pas documenté, nous l'écrivons plutôt que de le contourner.
Dernière mise à jour de cette grille : 13/10/2026
Thème | Réponse de CFAST | Preuve ou document disponible |
|---|---|---|
Hébergement | Pays d'hébergement : France. Hébergeur et datacenter : nous-même, localisé chez Equinix : nos équipements, nos fibres, notre management, hors cloud act. Droit applicable : Français | Contrat de licence signé avec nos clients |
Gouvernance | Éditeur indépendant depuis 2022, au service d'opérateurs depuis 15 ans, plus de 400 opérateurs clients. Actionnariat : CLAN BOMER et STRF | |
Réversibilité | Données récupérables par export depuis l'interface ou par API. | |
Accès | Gestion fine des droits, historisation des logs importants (modification client, abonnements, connexion...) Authentification renforcée (MFA) : 2027 | Documentation utilisateur en ligne |
Incidents | Procédure de gestion d'incident : notification par email et whats'app dès découverte. | |
Continuité | Fréquence de sauvegarde : quotidienne. Test de restauration (dernier test, périodicité) : juillet 2026. Objectifs de reprise : sous 24-48 heures avec réversibilité de données à 24 heures | |
Sous-traitance | Liste des sous-traitants de rang 2 intervenant sur le service : Iopole (plateforme agréée), Yousign (signature électronique), Bridge (connexion bancaire), GoCardless (paiement) | Iopole (plateforme agréée), Yousign (signature électronique), Bridge (connexion bancaire), GoCardless (paiement) |
Support | Support téléphonique en français. Horaires d'ouverture et délai de réponse engagé : 8h30-12h puis 13h30-17h30 du Lundi au Vendredi. | Page support : support@cfast.fr |
FAQ : NIS 2, MSP et audit fournisseurs
Un MSP est-il concerné par NIS 2 ?
Les fournisseurs de services managés font partie, à notre connaissance, des acteurs visés par la directive européenne. Le périmètre exact en France dépendra du texte voté : il faut le vérifier dès sa publication.
Faut-il attendre le vote de la loi pour agir ?
Non. Les clients concernés interrogent déjà leurs prestataires sur la sécurité de la chaîne de sous-traitance, et une grille d'audit remplie aujourd'hui servira quelle que soit la forme finale du texte.
Que demander à un fournisseur SaaS ou télécom ?
Les huit sujets de la grille : hébergement, gouvernance, réversibilité, accès, incidents, continuité, sous-traitance, support. Chaque réponse doit être précise, datée et attribuée à un interlocuteur.
En quoi l'hébergement et la souveraineté des données comptent-ils ici ?
Le lieu d'hébergement et le droit applicable à l'éditeur déterminent qui peut accéder aux données et sous quelles conditions. Pour un MSP, pouvoir l'expliquer clairement à ses clients est un argument de confiance.
Combien d'entités sont concernées par NIS 2 en France ?
Le Sénat indique environ 15 000 entités « essentielles » ou « importantes », contre environ 500 infrastructures critiques sous NIS 1, auxquelles s'ajoutent près de 1 500 collectivités territoriales, groupements et organismes placés sous leur tutelle.
Quelles sanctions financières NIS 2 prévoit-il ?
Selon l'ANSSI, les sanctions peuvent atteindre 2 % du chiffre d'affaires mondial pour les entités essentielles et 1,4 % pour les entités importantes.
Comment savoir si mon entreprise est concernée ?
Le plus simple est d'utiliser le simulateur de l'ANSSI, qui indique si l'entité est régulée et dans quelle catégorie. Un MSP sous les seuils reste concerné indirectement par les exigences de ses clients.
Qu'est-ce que le Référentiel Cyber France (ReCyF) ?
C'est le document de travail de l'ANSSI, publié le 17 mars 2026, qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. Il correspond au référentiel de cybersécurité mentionné à l'article 14 du projet de loi. Il n'est pas obligatoire par défaut, mais l'appliquer permet de s'en prévaloir lors d'un contrôle.
Quel est le délai de notification d'un incident significatif ?
Les guides spécialisés mentionnent un signalement à l'ANSSI sous 24 heures pour les incidents significatifs.
Où s'enregistrer auprès de l'ANSSI ?
Le pré-enregistrement des entités se fait sur le portail ClubSSI, et les incidents importants se déclarent sur la page de déclaration.
Un opérateur VoIP est-il concerné par NIS 2 même s'il est petit ?
Selon un éditeur de téléphonie d'entreprise, les fournisseurs de communications électroniques publiques seraient assujettis quelle que soit leur taille. C'est une lecture à confirmer dans le texte final de la loi française avant toute décision.
Que demander à un fournisseur de téléphonie d'entreprise ?
Six points spécifiques : isolation des flux voix et data, gestion des incidents sur les trunks SIP et les SBC, détection de la fraude, conservation des journaux d'appels, certifications et leur périmètre, délai de notification d'incident.
Un MSP de 4 salariés est-il concerné par NIS 2 ?
Probablement pas directement, puisque le seuil indiqué par l'ANSSI est d'au moins 50 salariés ou de plus de 10 M€ de chiffre d'affaires et de bilan. Il l'est en revanche souvent indirectement, parce que ses clients assujettis doivent sécuriser leur chaîne d'approvisionnement et lui poseront des questions. Attention : s'il revend aussi de la téléphonie ou de la connectivité sous sa marque, il peut relever d'une autre catégorie (fournisseur de communications électroniques), où la taille pourrait ne pas compter. Ce point est à vérifier auprès de l'Arcep ou de l'ANSSI.
Quelle est la différence entre être concerné directement et indirectement ?
Directement, l'entité est elle-même régulée : elle s'enregistre auprès de l'ANSSI, applique les mesures de sécurité et risque des sanctions. Indirectement, elle n'est pas régulée mais fournit une entité qui l'est : l'exigence passe par le contrat et les questionnaires fournisseurs, avec un risque commercial plutôt qu'une sanction légale.
Un MSP qui revend de la téléphonie est-il un opérateur télécom au sens de NIS 2 ?
C'est possible, et la question doit être tranchée juridiquement. Un MSP qui vend sous sa marque de la voix ou de la data, facturée au client final, peut relever des fournisseurs de communications électroniques accessibles au public, ce qui s'ajoute à son statut de MSP. Vérifiez votre statut auprès de l'Arcep ou d'un avocat avant d'affirmer que vous n'êtes pas concerné.
Un MSP peut-il être concerné deux fois par NIS 2 ?
Oui, à notre lecture : une fois comme fournisseur de services TIC entre entreprises (MSP ou MSSP), une fois comme fournisseur de communications électroniques s'il en revend. Dans les deux cas, ces secteurs figurent à l'annexe I, mais la prise en compte de la taille pourrait différer.
Quelles sont les conséquences d'être à la fois client et fournisseur dans la chaîne ?
Un MSP-opérateur est entre ses grossistes, qu'il doit auditer, et ses clients, qui l'auditent. Un incident chez un grossiste de voix devient son incident puis celui de son client : la chaîne est double et la grille d'audit doit s'appliquer dans les deux sens.
Conclusion : ne laissez pas vos clients écrire votre cahier des charges
Le retrait du projet de loi « Résilience numérique » de l'ordre du jour de l'Assemblée nationale est une mauvaise nouvelle pour la visibilité réglementaire, pas pour la demande. Les clients des MSP posaient la question de la chaîne de sous-traitance avant la loi, ils la poseront après. Attendre le vote pour s'organiser, c'est laisser ses clients fixer le cahier des charges à sa place.
La bonne approche tient en trois gestes : cartographier ses fournisseurs, leur poser les mêmes huit questions, documenter les réponses. Et pour un MSP qui revend aussi de la voix ou de la data, un quatrième : savoir dans quelle catégorie on se situe soi-même. Chez CFAST, éditeur indépendant depuis 2022 et au service d'opérateurs depuis 15 ans, nous préférons que cette grille soit remplie par vous, avec nos réponses à l'appui, plutôt que découverte au moment d'un incident.
Sources
- ChannelNews, « La transposition de NIS 2 à nouveau repoussée », 9 octobre 2026.
- Leto, « Transposition NIS 2 : le projet de loi Résilience de nouveau reporté », 6 octobre 2026.
- Assemblée nationale, dossier législatif du projet de loi (consulté le 12 octobre 2026).
- Sénat, « La loi en clair ».
- ANSSI, MesServicesCyber — Directive NIS 2.
- ANSSI, page d'information sur la directive NIS 2.
- Leto, « NIS 2 : qui est concerné ? » (pour la mention des MSP et MSSP à l'annexe I).
Sources complémentaires (opérateurs voix et data B2B) :
- Orange Business, « Mise en conformité NIS 2 : enseignements tirés », 12 mai 2025.
- ChannelNews, « Orange Business obtient une seconde qualification SecNumCloud pour Cloud Avenue », 7 octobre 2026.
- SFR Business, « Directive NIS 2 : obligations et sanctions », 18 juin 2025.
- Bouygues Telecom Business, « Accompagnement conformité NIS 2 » (page non datée, consultée le 12 octobre 2026).
- Enreach, « NIS 2 et opérateurs de services », 25 août 2026.
Liens officiels pour aller plus loin
Organisme | Ressource | Pourquoi ? |
|---|---|---|
Union européenne | Texte source : annexe I, articles 21, 23 et 34 | |
Assemblée nationale | État officiel de la procédure | |
Assemblée nationale | Version la plus avancée du texte | |
Sénat | Texte adopté par le Sénat (T.A. n° 78) et dossier législatif | Première lecture, 12 mars 2025 |
ANSSI | Seuils, sanctions, outils | |
ANSSI | Vérifier son statut | |
ANSSI | Référentiel de mesures | |
ANSSI | Questions pratiques | |
ANSSI | Diagnostic gratuit |