Services de sécurité managés : le RSSI n'est pas seul responsable

05.06.2026

8 min de lecture

Dans de nombreuses entreprises, le RSSI est considéré comme la personne qui endosse la responsabilité de la sécurité. Cette vision ne décharge la direction générale qu’en apparence. Depuis NIS2, la responsabilité incombe explicitement aux organes de direction et ne peut être déléguée. Les services de sécurité managés résolvent le problème de capacité, pas celui de responsabilité. Confondre les deux, c’est acheter un soulagement opérationnel tout en surestimant la protection juridique.

Les points clés en bref

La responsabilité ne se délègue pas. NIS2 impose à la direction générale d’approuver et de superviser les mesures de sécurité. Elle peut externaliser l’exploitation opérationnelle, mais la responsabilité reste en interne.
Le MSSP prend en charge la capacité, pas le mandat. Un prestataire externe assure une surveillance continue et fournit des compétences rares. La stratégie de sécurité et son pilotage restent du ressort de l’entreprise.
L’externalisation n’est viable qu’avec un pilotage interne. La stratégie et la responsabilité demeurent en interne, tandis que l’exploitation et la scalabilité peuvent être confiées à l’extérieur. Tracer clairement cette ligne de démarcation permet de gagner en souplesse sans perdre le contrôle.

En lien :La souveraineté cloud devient une affaire de direction/Qui est responsable quand l’agent IA agit ?

Pourquoi la responsabilité quitte le rôle de RSSI

Qu’est-ce qu’un service de sécurité managé ? Un service de sécurité managé transfère certaines tâches de sécurité à un prestataire spécialisé, le fournisseur de services de sécurité managés. Typiquement, il inclut une surveillance permanente, la détection des attaques et les premières réponses aux incidents. Le prestataire met à disposition la technologie, les processus et le personnel qualifié qu’une entreprise seule ne peut souvent pas maintenir en permanence.

Le schéma habituel était le suivant : il y a un RSSI, donc la sécurité est sous contrôle. Ce schéma a perdu sa validité avec la mise en œuvre de NIS2. La directive impose explicitement aux organes de direction d’approuver les mesures de gestion des risques, de superviser leur mise en œuvre et de se former. Elle ne désigne pas le RSSI comme destinataire, mais la direction générale. Ainsi, NIS2 déplace la sécurité d’un rôle fonctionnel vers une responsabilité de direction.

En Allemagne, cette disposition est en vigueur depuis décembre 2025 via la loi nationale de transposition. Elle prévoit des amendes personnelles pour les membres de la direction, pouvant atteindre jusqu’à un demi-million d’euros, ainsi qu’une interdiction temporaire d’exercer pour les cadres en cas de manquements graves. Ceux qui y voient une simple formalité sous-estiment son impact. La responsabilité personnelle modifie les priorités au sein de la direction plus fortement que des formations supplémentaires.

500.000 Euro

amende personnelle pouvant toucher la direction selon la loi allemande de transposition de NIS2, en plus de l’amende infligée à l’entreprise.

Source : Loi de transposition de NIS2 (NIS2UmsuCG), en vigueur depuis décembre 2025

C’est précisément là que naît le malentendu. De nombreuses entreprises réagissent à cette pression en mandatant un prestataire et considèrent le sujet comme réglé. L’exploitation peut être externalisée. En revanche, l’obligation de savoir ce qui est sécurisé et si les mesures sont efficaces reste du ressort de la direction. Un contrat avec un prestataire ne constitue pas une exonération de responsabilité, mais un outil qui doit lui-même être piloté.

Ce que le MSSP prend en charge et ce qui reste en interne

Les services managés de sécurité (MSS) se développent car le déficit opérationnel est bien réel. Soixante pour cent des responsables de la sécurité citent désormais la pénurie de compétences comme leur principale préoccupation, devant le simple nombre de personnel. Rien qu’au sein de l’UE, environ 300 000 professionnels manquent à l’appel. Un centre opérationnel de sécurité (SOC) entièrement doté en personnel n’est tout simplement pas financièrement viable pour la plupart des entreprises en dessous de la taille d’un groupe.

Cette lacune est comblée de manière judicieuse par un prestataire de services. Il mutualise des experts rares entre plusieurs clients et assure une surveillance en continu, que peu d’entreprises pourraient maintenir durablement seules. L’essentiel réside cependant dans une séparation claire entre ce qui peut être externalisé et ce qui doit rester en interne.

Fonction	Pertinent pour le MSSP	Reste en interne
Surveillance 24h/24 et 7j/7	oui, effet d’échelle	Voies d’escalade
Détection des attaques	oui, outils et routine	Contexte métier
Stratégie de sécurité	non, uniquement conseil	oui, pleine souveraineté
Preuve de conformité	Contribution et justificatifs	Responsabilité de la direction
Responsabilité selon NIS2	non transférable	entièrement en interne

La dernière ligne détermine le modèle. Un prestataire peut prendre en charge le travail, fournir les preuves et réagir rapidement en cas d’urgence. Cependant, c’est à la direction elle-même de prouver aux autorités de régulation que des mesures appropriées ont été décidées et surveillées. Celui qui ignore cette ligne a externalisé et croit être sécurisé.

Comment fonctionne une gestion hybride sans perte de contrôle

Cette séparation conduit à un modèle d’exploitation pragmatique. La direction de la sécurité reste en interne, souvent sous la forme d’un RSSI (Responsable de la Sécurité des Systèmes d’Information) ou, pour les structures plus petites, d’un RSSI virtuel externalisé doté d’un mandat clair. Elle définit ce qui doit être protégé, avec quelles priorités et contre quels risques. Le prestataire met en œuvre ces directives dans l’exploitation et rend compte.

Pour que ce modèle fonctionne, deux conditions préalables, souvent absentes dans la gouvernance, sont nécessaires. Premièrement, une personne interne disposant du mandat et du temps pour piloter le prestataire. Un MSSP sans interlocuteur en interne produit des rapports que personne ne lit. Deuxièmement, des voies d’escalade clairement définies. Lorsqu’une attaque survient à trois heures du matin, il doit être établi qui, au sein de l’entreprise, prend les décisions et qui doit être informé. Cette décision ne peut pas être prise pendant l’incident.

Où l’externalisation porte ses fruits et où elle freine ?

Qu’un service de sécurité managé apporte un soulagement ou crée un nouveau risque dépend moins du prestataire que de votre propre préparation. Les schémas suivants distinguent l’un de l’autre.

Ce qui freine

Externaliser en partant du principe que la responsabilité disparaît avec
Aucun responsable interne pour piloter le prestataire
Définir les voies d’escalade uniquement lors d’un incident en cours
Contrat sans obligations claires de reporting et de justification

Ce qui porte

Stratégie et responsabilité restent visibles en interne
Un interlocuteur désigné avec mandat pour le prestataire
Voies d’escalade définies et testées en amont
Contrats fournissant des preuves pour la conformité

La différence entre les deux colonnes ne relève pas du budget. Elle dépend de la clarté quant à ce que vous achetez réellement. Un service de sécurité managé est un atelier externalisé pour l’exploitation de la sécurité, pas un substitut à une décision de direction. Celui qui l’utilise ainsi obtient un véritable soulagement. Celui qui en attend davantage achète un risque avec la facture.

Foire aux questions

Une entreprise peut-elle externaliser sa responsabilité NIS2 auprès d’un prestataire de services ?

Non. La directive NIS2 impose aux organes de direction d’approuver et de superviser personnellement les mesures de sécurité. Les tâches opérationnelles peuvent être confiées à un fournisseur de services de sécurité managés, mais la responsabilité et la charge juridique restent du ressort de la direction. Un contrat ne constitue pas une exonération de responsabilité.

Quand un service de sécurité managé est-il judicieux ?

Surtout lorsque la mise en place d’un centre de supervision interne occupé en continu n’est pas financièrement viable et que la pénurie de compétences empêche un recrutement en interne. Le prestataire mutualise l’expertise rare et assure une surveillance 24 heures sur 24. Pour les entreprises en dessous de la taille d’un groupe, c’est souvent la seule solution réaliste pour garantir un fonctionnement fiable.

Quels éléments doivent impérativement rester en interne malgré l’externalisation ?

La stratégie de sécurité, le pilotage du prestataire, la définition des voies d’escalade et la preuve de conformité vis-à-vis des autorités de régulation. Il faut une personne interne mandatée pour diriger le prestataire. Sans ce référent, les rapports du fournisseur restent sans suite.

Qu’est-ce qu’un RSSI virtuel ?

Un RSSI virtuel est une direction de la sécurité externalisée, travaillant sur la base d’un mandat plutôt qu’en tant que salarié permanent. Pour les petites entreprises qui ne peuvent pas financer un RSSI interne, cela apporte une compétence managériale en interne. Un mandat clair est essentiel pour que ce rôle puisse piloter et non seulement conseiller.

Quelle question doit précéder tout contrat avec un MSSP ?

Qui, au sein de notre entreprise, pilote ce prestataire, et quelles preuves fournit-il pour notre rapport de conformité ? Si la réponse n’est pas claire avant la signature, l’externalisation se fait sans interlocuteur dédié. Le contrat déplace alors le problème au lieu de le résoudre.

Plus d’articles du réseau MBF Media