Un SOC managé aide-t-il à respecter NIS2 ?

Oui, sur plusieurs obligations précises, même si NIS2 n’impose pas d’avoir un SOC. La directive prévoit la gestion des incidents parmi les mesures de l’article 21, et l’article 23 organise la notification des incidents importants dans des délais courts, dont une alerte précoce en 24 heures. Un SOC managé apporte la surveillance continue et le traitement des incidents qui rendent ces délais tenables. Il ne remplace pas le reste de la démarche.

Cet article fait le lien entre notre série sur le SOC managé et notre série NIS2. Pour savoir si vous êtes concerné, voir NIS2 : qui est concerné ?. Pour le principe du SOC managé, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

Ce que NIS2 prévoit, et ce qu’un SOC couvre

Mesure prévue par NIS2	Article	Contribution d’un SOC managé
Gestion des incidents	21, paragraphe 2, point b	Forte : détection, qualification, confinement, réponse
Notification : alerte en 24 h, notification en 72 h, rapport final sous un mois	23	Forte : détection rapide et éléments factuels pour la notification
Évaluation de l’efficacité des mesures	21, paragraphe 2, point f	Partielle : rapports, indicateurs, incidents traités
Sécurité de la chaîne d’approvisionnement	21, paragraphe 2, point d	Indirecte : surveillance des accès des prestataires
Continuité d’activité, sauvegardes, gestion de crise	21, paragraphe 2, point c	Partielle : appui à la gestion de crise par le CERT
Analyse de risques, politiques de sécurité	21, paragraphe 2, point a	Non
Formation, hygiène informatique	21, paragraphe 2, point g	Non
Gouvernance, approbation par la direction	20	Non

Pourquoi la notification en 24 heures change tout

Le délai court à partir du moment où l’entité a connaissance d’un incident important. Sans surveillance continue, une attaque lancée un vendredi soir peut n’être découverte que le lundi, avec des dégâts plus lourds. Avec un SOC 24/7, la détection intervient plus tôt, et les éléments nécessaires à l’alerte précoce (nature de l’incident, premiers effets, mesures prises) sont rassemblés au fil de l’eau.

L’article 23 prévoit ensuite une notification d’incident sous 72 heures, qui met à jour l’alerte précoce avec une première évaluation de la gravité et de l’impact, puis un rapport final dans un délai d’un mois. Chaque étape s’appuie sur les mêmes éléments : ce qui a été vu, quand, sur quels systèmes, et ce qui a été fait. Un SOC qui documente son enquête au fil de l’eau facilite la réunion de ces éléments.

La notification elle-même reste de la responsabilité de l’entité régulée. Le SOC lui fournit la chronologie et les faits. Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.

Ce qu’un SOC ne fait pas à votre place

• Décider : selon l’article 20, la direction approuve les mesures de sécurité et en est responsable.
• Analyser les risques et rédiger la politique de sécurité.
• Gérer les fournisseurs au-delà de la surveillance technique.
• Former les équipes et la direction.

Un SOC est donc une brique importante, pas une conformité clé en main. Voir aussi Que comprend un SOC managé, et qu’est-ce qui n’en fait pas partie ?.

Le cas des infogérants

Les infogérants sont doublement concernés :

1. Pour eux-mêmes : les fournisseurs de services gérés figurent dans l’annexe I de NIS2. Selon les critères de taille de la directive, un infogérant d’au moins 50 salariés relève en règle générale des entités importantes, auxquelles s’appliquent les mesures de l’article 21. La situation de chaque entreprise est à vérifier avec son conseil juridique. Voir Quelle est la différence entre entité essentielle et entité importante ?.
2. Pour leurs clients : les clients régulés vont probablement demander à leur infogérant des éléments sur sa sécurité et sur sa capacité à les prévenir vite en cas d’incident. Voir Suis-je concerné par NIS2 si mon client l’est ?.

Un SOC managé partenaire peut aider l’infogérant sur ces deux plans sans construire d’équipe dédiée. Voir SOC managé et infogérant : qui fait quoi ?.

Le rôle de la qualification PDIS en France

L’ANSSI qualifie les prestataires de détection d’incidents de sécurité (PDIS). Le texte de NIS2 n’impose pas de recourir à un prestataire qualifié. Le référentiel PDIS décrit précisément ce qu’on attend d’un prestataire de détection, et certains cadres réglementaires français y renvoient pour des organisations particulières, ce qui se vérifie texte par texte. C’est en tout cas une bonne grille pour évaluer une offre.

Rappel : au 26 août 2026, la loi française de transposition de NIS2 n’est pas encore adoptée. Les modalités françaises ne sont donc pas encore fixées, mais le contenu de la directive est connu.

Faire le point avec un expert

Vous voulez savoir comment un SOC managé s’intègre dans votre démarche NIS2 ou dans celle de vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Faut-il un prestataire qualifié par l'ANSSI pour NIS2 ?

Le texte de NIS2 n'impose pas de prestataire qualifié. En France, d'autres cadres réglementaires que NIS2 peuvent renvoyer à des prestataires qualifiés pour certaines organisations : c'est à vérifier avec les textes qui les concernent. La qualification PDIS de l'ANSSI reste une référence utile pour évaluer un prestataire.

Un infogérant peut-il couvrir les obligations NIS2 de son client ?

Il peut en porter une partie technique, avec un SOC partenaire. Mais l'entité régulée reste responsable de sa conformité, et l'article 20 prévoit que sa direction approuve les mesures.

Les rapports du SOC suffisent-ils comme preuve ?

Ils sont une preuve importante de la détection et du traitement des incidents, mais l'autorité pourra demander d'autres éléments : politique de sécurité, analyse de risques, gestion des fournisseurs, formation.