Cybersécurité confiée à un prestataire : le périmètre

La cybersécurité externalisée consiste à confier à un prestataire la protection courante de votre informatique : postes et serveurs, comptes, messagerie, sauvegardes, réseau, lecture des alertes et sensibilisation des équipes. Le dirigeant conserve les règles internes, les décisions pendant un incident, les déclarations, l’assurance et la responsabilité au regard du RGPD. Le contrat écrit cette frontière.

Postes, comptes, messagerie : le socle d’une cybersécurité externalisée

Les menaces elles-mêmes, hameçonnage, rançongiciel ou intrusion, sont décrites dans le guide de la sécurité informatique des PME. Ici, place aux gestes que le prestataire accomplit, domaine par domaine.

Postes et serveurs : protection gérée, correctifs suivis

Sur chaque poste et chaque serveur, le prestataire de cybersécurité installe un outil de protection qu’il administre à distance : un antivirus géré ou un EDR, ce logiciel qui repère un comportement anormal et isole la machine. Il pilote aussi les mises à jour. Le guide de l’ANSSI « La cybersécurité pour les TPE/PME en treize questions », dans sa version de décembre 2024, vise précisément ce cas : si vous recourez à un sous-traitant, vérifiez qu’il applique bien les correctifs et, au besoin, inscrivez cette obligation au contrat. Tout matériel ou logiciel qui ne reçoit plus de mises à jour doit, selon ce guide, être remplacé.

Comptes : un nom par personne, une double preuve

Le prestataire crée les comptes, attribue les droits et coupe les accès au départ d’un salarié, idéalement le jour même. Les comptes partagés laissent place à des comptes nominatifs, et l’administration passe par des comptes distincts. L’authentification à plusieurs facteurs, que le même guide recommande d’activer dès qu’un service la propose, protège d’abord la messagerie, les accès distants et les outils en ligne. Un inventaire des accès vérifie qu’aucun ancien salarié ni ancien intervenant n’en garde un.

Messagerie : filtrage et domaine authentifié

Le prestataire filtre spams et tentatives d’hameçonnage en amont des boîtes, contrôle que les fonctions de sécurité d’une messagerie hébergée dans le cloud sont réellement activées, puis publie trois enregistrements dans le DNS de votre nom de domaine :

• SPF, la liste des serveurs autorisés à envoyer du courrier au nom du domaine ;
• DKIM, une signature qui atteste que le message vient du domaine et n’a pas été modifié ;
• DMARC, la consigne donnée aux serveurs destinataires pour les messages qui échouent à ces contrôles, avec des rapports qui révèlent les usurpations.

Pourquoi regrouper support et sécurité

Dans beaucoup de petites structures, la sécurité s’est construite par couches : un intervenant pour les postes, l’opérateur pour la box, l’éditeur pour le logiciel métier, un indépendant pour la messagerie. Chaque couche fonctionne, mais les questions qui tombent entre deux ne trouvent personne. Qui ferme le compte cloud d’un commercial parti ? Qui lit l’alerte d’une sauvegarde échouée ?

Confier le support des utilisateurs, la supervision et la sécurité à un même partenaire referme ces angles morts. C’est la démarche d’Expertis’IT, prestataire informatique et télécoms de proximité basé à Lille, qui accompagne les TPE et PME avec un seul interlocuteur pour le support, la protection des postes, des comptes et du réseau, le cloud et les télécoms. Le travail part d’un état des lieux des risques, débouche sur une feuille de route priorisée, se déploie sans interrompre l’activité des équipes, puis se suit dans une documentation tenue à jour. Pour un dirigeant qui veut déléguer sa sécurité sans perdre la vue d’ensemble, cette continuité pèse plus lourd que le choix d’un outil.

Le bénéfice se constate au quotidien. Le salarié bloqué par sa double authentification appelle l’équipe qui gère aussi les accès, et l’alerte d’une sauvegarde arrive chez ceux qui l’ont configurée. Une sécurité confiée de cette façon garde, le jour d’un incident, l’inventaire, les accès et l’historique au même endroit.

Sauvegardes, réseau, alertes : la couche qui se voit moins

Des sauvegardes isolées, à la restauration éprouvée

Le prestataire programme les sauvegardes, en garde au moins une copie hors ligne ou isolée du réseau, et vérifie surtout qu’une restauration fonctionne, d’un fichier jusqu’au serveur entier. Une sauvegarde jamais restaurée reste une hypothèse. La répartition des copies relève de la stratégie de sauvegarde en entreprise. Dans une sécurité externalisée, retenez surtout que le test de restauration figure au contrat, avec sa fréquence et son compte rendu.

Un pare-feu administré, un Wi-Fi invité à part

Le pare-feu filtre ce qui entre et sort du réseau, à condition que ses règles soient documentées, revues et chaque ouverture justifiée. Le prestataire isole aussi le Wi-Fi des visiteurs, et souvent celui des objets connectés, du réseau où circulent les données : un client qui patiente à l’accueil n’a rien à faire à côté du serveur comptable.

Des alertes lues, une équipe sensibilisée

Une alerte ne vaut que par la personne qui la lit, la qualifie puis agit. Le contrat précise lesquelles sont surveillées, sur quelles plages horaires et qui prévenir. Reste le facteur humain : le guide déjà cité conseille une charte informatique remise à chaque arrivant, avec la marche à suivre pour signaler un incident, et des signalements traités sans sanction, pour que personne ne cache un clic malheureux. Le prestataire anime les séances et simule des campagnes d’hameçonnage, la direction fixe la règle et montre l’exemple.

Ce qui reste entre les mains du dirigeant

Déléguer l’exécution ne transfère pas la responsabilité. Dans sa fiche « Comment piloter sa cybersécurité ? », mise à jour en octobre 2026, Cybermalveillance.gouv.fr demande au dirigeant d’interroger son support sur la pertinence des mesures, puis de piloter lui-même le plan par des points réguliers. Dans une cybersécurité déléguée, cinq sujets restent de son ressort :

• les règles internes : appareils personnels, validation d’un virement inhabituel, réflexe face à un message douteux ;
• les décisions pendant un incident, le prestataire conseillant et exécutant ;
• les déclarations, qui partent de l’entreprise : CNIL en cas de violation de données personnelles, assureur, plainte ;
• l’assurance cyber, dont le questionnaire décrit des mesures que le prestataire doit appliquer pour de bon (voir les couvertures d’une assurance cyber pour PME) ;
• la conformité au RGPD : l’entreprise reste responsable du traitement, le prestataire agit comme sous-traitant et l’aide à tenir ses obligations de sécurité, selon l’article 28 du règlement.

Comment le contrat trace la frontière

L’ANSSI a consacré à l’externalisation un guide publié en 2010, toujours en ligne, bâti autour du plan d’assurance sécurité : le document où le prestataire décrit comment il répond aux exigences du client, avec des clauses types. Pour une petite structure, trois blocs du contrat de sécurité méritent une lecture attentive.

Le périmètre, équipement par équipement

Une annexe liste ce qui est couvert : postes, serveurs, comptes cloud, pare-feu, bornes Wi-Fi, nom de domaine, messagerie. Elle nomme aussi ce qui ne l’est pas, comme le logiciel métier maintenu par son éditeur. Tout nouvel équipement entre dans le périmètre de sécurité par une mise à jour de l’inventaire, faute de quoi personne ne le surveille.

Des niveaux de service mesurables

Les niveaux de service fixent un délai de prise en charge selon la gravité, les plages couvertes et la personne joignable. Distinguez le délai de prise en charge, qui engage le prestataire à démarrer, du délai de résolution, qui dépend de la panne.

Un compte rendu lisible par un non-spécialiste

Le compte rendu périodique tient en quelques pages et reprend :

• les correctifs appliqués et ceux en attente, avec la raison du report ;
• les comptes créés, modifiés ou supprimés ;
• les alertes traitées et leur issue ;
• le dernier test de restauration et son résultat ;
• les risques encore acceptés, validés par la direction.

Ce document sert aussi de preuve face à l’assureur ou à un client qui interroge votre niveau de sécurité.

Vérifier les compétences avant de signer

Le label ExpertCyber offre un repère public. Selon la page de Cybermalveillance.gouv.fr consacrée aux prestataires, il est délivré à l’issue d’un audit réalisé par AFNOR Certification et porte sur la sécurisation, la maintenance et l’assistance en cas d’incident ; un annuaire en ligne indique qui le détient. Demandez aussi qui intervient sur vos systèmes, comment les accès d’administration du prestataire de sécurité sont protégés et quelle documentation vous est remise.

Vos questions sur la sécurité confiée

Une TPE est-elle concernée par la directive NIS 2 ?

En règle générale, non. La directive (UE) 2022/2555 vise, dans dix-huit secteurs, des entités moyennes ou grandes : selon l’espace NIS 2 de l’ANSSI, une entité importante emploie au moins cinquante personnes ou dépasse des seuils de chiffre d’affaires et de bilan. Certaines activités y entrent quelle que soit la taille, comme l’enregistrement de noms de domaine. Une TPE qui fournit une entité régulée peut aussi recevoir des exigences contractuelles, la directive couvrant la chaîne d’approvisionnement. Ce même espace décrit encore, en octobre 2026, une transposition française en cours.

Qui notifie une violation de données à la CNIL ?

L’entreprise, responsable du traitement, même si le prestataire l’aide à préparer le dossier. L’article 33 du RGPD demande une notification sans tarder et, si possible, dans les 72 heures après la prise de connaissance de la violation, tout retard devant être expliqué. Le sous-traitant doit prévenir son client sans tarder dès qu’il constate la violation. Le téléservice de notification est réservé aux responsables de traitement. Prévoyez donc au contrat qui alerte qui, par quel canal, et qui tient le registre des violations.

Assurance cyber et prestataire : qui fait quoi ?

L’assureur prend en charge des conséquences financières et, selon les contrats, mandate ses propres experts lors d’un sinistre. Le prestataire connaît vos systèmes, détient les journaux et la documentation, et applique les mesures déclarées à la souscription. Les deux doivent pouvoir coopérer : vérifiez que le contrat de prestation autorise l’accès des experts mandatés et la remise des éléments techniques. Obligations de déclaration et exclusions se lisent dans votre police ; en cas de doute, votre assureur ou votre courtier tranche.

Un prestataire peut-il garantir l’absence d’attaque ?

Non, et une promesse de ce type doit vous alerter. Cybermalveillance.gouv.fr le dit dans sa fiche destinée aux dirigeants : aucune cybersécurité n’est absolue, une attaque réussie reste possible. Un prestataire sérieux s’engage sur des moyens vérifiables : correctifs appliqués, accès revus, alertes traitées, restaurations testées, délais de prise en charge. Il réduit la probabilité d’un incident et en limite les effets, pendant que l’entreprise se prépare à l’éventualité d’une crise.