MSSP France : qu'est-ce qu'un MSSP et comment le choisir ?
MSSP France : un MSSP opère la sécurité de ses clients (SOC, détection, réponse). Définition NIS2, différences avec un MSP et critères pour bien le choisir.
Un MSSP (managed security service provider) est un prestataire qui opère tout ou partie de la cybersécurité de ses clients : surveillance, détection, réponse aux incidents, gestion des équipements de sécurité. Pour choisir parmi les offres MSSP France, regardez le périmètre réel du service, la surveillance 24/7, la capacité de réponse à incident et le modèle de relation avec vous.
Cet article fait partie de notre série sur le choix d’un SOC. Le guide de référence est Comment choisir un prestataire SOC ?, qui détaille tous les critères de sélection.
Qu’est-ce qu’un MSSP ?
La directive NIS2 donne une définition utile. Elle distingue :
- le fournisseur de services gérés (MSP, l’infogérant) : il installe, gère, exploite ou maintient des produits, réseaux, infrastructures ou applications TIC pour ses clients (article 6, point 39) ;
- le fournisseur de services de sécurité gérés (MSSP) : un fournisseur de services gérés qui mène ou assiste des activités de gestion des risques de cybersécurité (article 6, point 40).
En clair, l’infogérant fait tourner le système d’information ; le MSSP le protège. Une même entreprise peut être les deux. Les deux catégories figurent à l’annexe I de NIS2, dans le secteur « gestion des services TIC (interentreprises) ».
Que fait un MSSP ?
Les services varient beaucoup d’un prestataire à l’autre :
| Service | Ce qu’il apporte |
|---|---|
| SOC managé | Surveillance continue, détection et qualification des alertes |
| MDR | Détection et réponse sur les postes, souvent via un EDR |
| Réponse à incident | Confinement, investigation, remédiation après une attaque |
| Gestion des vulnérabilités | Inventaire des failles et suivi de leur correction |
| Gestion d’équipements | Administration de pare-feux, passerelles de messagerie |
| Audit et conseil | Évaluation du niveau de sécurité, plans d’action |
Le terme MSSP ne dit donc pas, à lui seul, ce que vous achetez. Pour clarifier les acronymes, voir EDR, MDR, XDR : quelles différences ?.
MSSP ou infogérant : qui fait quoi ?
Pour une PME, la question se pose souvent ainsi : mon infogérant s’occupe déjà de mon informatique, faut-il un prestataire de plus ? Pas forcément. De nombreux infogérants proposent désormais des services de sécurité gérés en s’appuyant sur un SOC partenaire. Le client garde un seul interlocuteur, et la surveillance est assurée par des analystes spécialisés.
Pour le partage des rôles, voir SOC managé et infogérant : qui fait quoi ?.
Comment choisir un MSSP en France
Le périmètre réel
Demandez la liste précise de ce qui est surveillé (postes, serveurs, Microsoft 365 ou Google Workspace, pare-feux) et de ce qui ne l’est pas. Un « service de sécurité géré » peut aller d’une simple console d’alertes à une équipe qui intervient vraiment.
La surveillance 24/7
Les attaques n’ont pas d’horaires. Vérifiez que des analystes sont réellement en poste la nuit et le week-end, et où ils travaillent.
La réponse à incident
Que se passe-t-il quand une attaque est confirmée ? Qui isole le poste, qui investigue, en combien de temps, et à quel coût ? Une réponse à incident qu’il faut cadrer et contractualiser en pleine crise peut retarder l’intervention : mieux vaut connaître les conditions prévues au contrat avant l’incident.
Les intégrations
Le MSSP doit s’intégrer à vos outils existants, notamment votre EDR et votre messagerie. Demandez quels outils sont pris en charge nativement et ce qu’il advient des autres.
Les certifications
ISO 27001 atteste d’un système de management de la sécurité. En France, l’ANSSI qualifie les prestataires de détection (PDIS), de réponse aux incidents (PRIS) et d’audit (PASSI). Cybermalveillance.gouv.fr cite d’ailleurs ces qualifications parmi les repères pour choisir un prestataire de confiance.
Le modèle de relation
Certains MSSP vendent en direct, d’autres passent par les infogérants. Si vous êtes infogérant, vérifiez que le MSSP ne viendra pas démarcher vos clients et qu’il fournit des rapports à votre marque. Voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
Le modèle de Cyna
Cyna est un pure player du SOC managé. Son SOC 24/7 est opéré depuis la France par des équipes internes, aux côtés d’un CERT membre de l’InterCERT France. Cyna travaille via ses infogérants partenaires, qui portent la relation client, le contrat et la facturation, et peuvent exporter des rapports en marque blanche. L’astreinte réponse à incident de Cyna est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center.
Faire le point avec un expert
Vous comparez des MSSP ou vous souhaitez ajouter un SOC à votre offre d’infogérance ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Quelle différence entre un MSSP et un SOC managé ?
Le SOC managé est un service : surveillance, détection et réponse. Un MSSP peut le proposer parmi d'autres services, comme la gestion de pare-feu ou la gestion des vulnérabilités. Voir Qu'est-ce qu'un SOC managé ?.
Un infogérant peut-il devenir MSSP ?
Oui. Beaucoup d'infogérants ajoutent des services de sécurité gérés à leur offre en s'appuyant sur un SOC partenaire, plutôt que de construire une équipe 24/7. Voir Comment un MSP peut-il revendre un SOC en marque blanche ?.
Un MSSP est-il soumis à NIS2 ?
Les fournisseurs de services de sécurité gérés figurent à l'annexe I de NIS2, qui s'applique en général à partir des seuils de taille d'une moyenne entreprise, sous réserve de la transposition dans chaque pays. Savoir si un prestataire donné est concerné relève de son conseil juridique. En France, la loi de transposition n'est pas encore adoptée au 8 octobre 2026.
Quelles certifications regarder chez un MSSP ?
ISO 27001 pour le système de management de la sécurité, et en France les qualifications de l'ANSSI selon les services : PDIS pour la détection, PRIS pour la réponse aux incidents, PASSI pour l'audit.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.