En juillet 2021, l’éditeur américain Kaseya a subi une attaque qui allait devenir un cas d’école mondial. En exploitant une faille dans son logiciel de supervision informatique VSA, le groupe de rançongiciel REvil a diffusé une fausse mise à jour vers les prestataires informatiques clients de Kaseya, qui l’ont eux-mêmes redistribuée, sans le savoir, à leurs propres clients. Résultat : entre 800 et 1 500 entreprises dans le monde, la plupart des PME, se sont retrouvées chiffrées en quelques heures, non pas parce qu’elles avaient commis une erreur, mais parce que le prestataire en qui elles avaient placé leur confiance était lui-même la porte d’entrée.
Ce scénario n’a rien d’exceptionnel. Selon le rapport Data Breach Investigations Report 2025 de Verizon, qui analyse plus de 22 000 incidents de sécurité et 12 195 violations confirmées dans le monde, l’implication d’un tiers dans les compromissions a doublé en un an, passant de 15 % à 30 % des cas. Votre prestataire informatique, qu’il gère votre parc de postes, vos serveurs, votre messagerie ou votre cybersécurité, dispose le plus souvent d’un accès à distance privilégié à l’ensemble de votre système d’information. Bien choisi, il est votre meilleur rempart contre les cyberattaques. Mal choisi, il devient votre plus grande vulnérabilité.
Ce guide détaille les critères concrets, les certifications reconnues et les clauses contractuelles qui permettent de distinguer un prestataire informatique réellement fiable d’un simple technicien facturant à l’heure. Il s’adresse aux dirigeants de TPE et PME françaises qui s’apprêtent à choisir un nouveau prestataire, à renouveler un contrat d’infogérance, ou qui veulent tout simplement s’assurer que leur partenaire actuel est à la hauteur des enjeux.
Pourquoi le choix de votre prestataire est un enjeu de cybersécurité majeur ?
Pendant longtemps, choisir un prestataire informatique relevait presque exclusivement d’un critère de prix et de proximité géographique. Ce temps est révolu. Un infogérant ou un intégrateur dispose généralement d’un accès administrateur à vos serveurs, à votre annuaire d’utilisateurs, à vos sauvegardes et à vos outils de télémaintenance. C’est précisément cette position privilégiée que les attaquants cherchent à exploiter, car compromettre un seul prestataire permet souvent d’atteindre plusieurs dizaines de clients en une seule campagne.
La directive européenne NIS2 a d’ailleurs pris acte de ce risque : son article 21 impose explicitement aux entités concernées de gérer les risques de cybersécurité liés à leurs fournisseurs et prestataires de services, d’évaluer leur posture de sécurité avant de les engager, et d’intégrer des exigences de sécurité dans les contrats qui les lient. Même les PME qui ne sont pas directement soumises à NIS2 sont concernées indirectement, car les grands donneurs d’ordre répercutent de plus en plus ces exigences sur toute leur chaîne de sous-traitance, y compris sur leurs prestataires informatiques.
Trois catégories de risques sont directement liées à un mauvais choix de prestataire : la compromission par rebond (comme dans le cas Kaseya), la négligence contractuelle (absence de sauvegardes testées, correctifs de sécurité non appliqués, mots de passe partagés entre clients) et le manque de réactivité en cas d’incident, qui peut transformer un simple malware en sinistre majeur. Comprendre ces risques est la première étape avant de comparer les offres du marché.
Cette logique de compromission par rebond obéit à une pure économie d’échelle du côté des attaquants. Pirater directement une PME rapporte peu et demande un effort ciblé pour un gain incertain. Pirater le logiciel de télémaintenance ou l’infrastructure d’un prestataire qui gère plusieurs dizaines, voire plusieurs centaines de PME, permet de démultiplier l’impact d’une seule intrusion réussie. C’est exactement le calcul qu’a fait le groupe REvil avec Kaseya, et c’est également le raisonnement qui sous-tend l’exigence de gestion des risques tiers introduite par NIS2 : sécuriser une entité isolée ne sert à rien si son maillon le plus exposé se trouve chez un fournisseur externe.
Infogérance, MSSP, DSI externalisée : quelles différences entre les types de prestataires
Le terme « prestataire informatique » recouvre en réalité des métiers très différents, avec des niveaux d’expertise en cybersécurité très inégaux. Avant de comparer des devis, il faut d’abord identifier de quel type de prestataire votre PME a réellement besoin, car un infogérant généraliste et un MSSP (Managed Security Service Provider) spécialisé en sécurité ne répondent pas aux mêmes besoins ni au même budget.
| Type de prestataire | Pour quelle PME | Avantages | Limites | Budget indicatif |
|---|---|---|---|---|
| Infogérance généraliste | TPE/PME sans compétence IT interne | Guichet unique, support utilisateurs, maintenance du parc | Sécurité souvent basique, pas de spécialisation cyber | 40 à 90 € HT/poste/mois |
| MSSP (sécurité managée) | PME avec exigences réglementaires (NIS2, RGPD, assurance) | Supervision 24h/24, détection des menaces, réponse à incident | Coût plus élevé, nécessite un existant IT stable | 60 à 180 € HT/poste/mois |
| DSI externalisée (vDSI) | PME de 20 à 250 salariés en croissance | Vision stratégique, pilotage du budget IT, gouvernance | N’exécute pas elle-même le support quotidien | 1 500 à 5 000 € HT/mois selon le volume |
| Freelance indépendant | TPE avec besoins ponctuels et budget serré | Tarif attractif, relation directe | Pas de continuité de service, disponibilité limitée | 350 à 700 € HT/jour |
En pratique, la plupart des PME françaises combinent plusieurs de ces profils : un infogérant pour le quotidien, complété par un MSSP ou par des prestataires ponctuels pour l’audit et la réponse à incident. L’important est de savoir précisément ce que couvre, et surtout ce que ne couvre pas, le contrat en cours, un point sur lequel nous revenons dans la section consacrée aux clauses contractuelles.
Les certifications et qualifications à exiger de votre prestataire
Contrairement à une idée reçue, il existe en France un écosystème de labels et de qualifications officielles qui permettent de vérifier objectivement le sérieux d’un prestataire, sans avoir à se fier uniquement à des avis clients ou à un discours commercial. Ces qualifications sont délivrées ou supervisées par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) ou par Cybermalveillance.gouv.fr, deux organismes publics dont la légitimité n’est pas à démontrer. À titre d’exemple, le catalogue officiel de l’ANSSI recensait environ 55 prestataires qualifiés PASSI sur l’ensemble du territoire français en mars 2026, ce qui donne une idée du niveau d’exigence réel de cette qualification et explique pourquoi elle reste rare, y compris chez des prestataires par ailleurs compétents.
| Qualification | Délivrée par | Ce qu’elle garantit | Quand l’exiger |
|---|---|---|---|
| ExpertCyber | Cybermalveillance.gouv.fr | Compétence technique et transparence tarifaire vérifiées pour l’accompagnement des TPE/PME | Pour tout prestataire de proximité en cybersécurité |
| PASSI | ANSSI | Compétence, indépendance et fiabilité pour réaliser des audits de sécurité | Si le prestataire réalise vos audits ou tests d’intrusion |
| PRIS | ANSSI | Capacité à gérer une réponse à incident de sécurité dans les règles de l’art | Pour le prestataire en charge de la gestion de crise cyber |
| SecNumCloud | ANSSI | Plus de 360 critères de sécurité technique, juridique et souveraine pour l’hébergement cloud | Si le prestataire héberge vos données sensibles |
| ISO 27001 | Organismes de certification accrédités | Système de management de la sécurité de l’information structuré | Critère de sérieux général, tous types de prestataires |
Le label ExpertCyber, lancé par Cybermalveillance.gouv.fr en partenariat avec les fédérations professionnelles du secteur (EBEN, Cinov Numérique, Syntec Numérique) et avec le soutien de l’AFNOR et de France Assureurs, est probablement le repère le plus pertinent pour une PME qui cherche un prestataire de proximité en cybersécurité. Il impose notamment une transparence totale sur les tarifs pratiqués avant toute intervention, un point trop souvent négligé dans ce secteur. Le service « Mon ExpertCyber » du site officiel permet de rechercher directement un prestataire labellisé près de chez vous.
SecNumCloud : la référence pour l’hébergement de vos données
Si votre prestataire héberge lui-même vos serveurs, vos sauvegardes ou votre messagerie, la qualification SecNumCloud de l’ANSSI est l’exigence la plus stricte du marché : plus de 360 critères répartis en 14 thèmes couvrant la sécurité technique, organisationnelle, opérationnelle et surtout juridique. Un hébergeur SecNumCloud doit démontrer une gouvernance et un actionnariat garantissant une immunité vis-à-vis des lois extraterritoriales non européennes, notamment le CLOUD Act américain que nous détaillons plus loin. En juillet 2026, seule une dizaine d’offres sont qualifiées SecNumCloud en France, ce qui en fait un vrai critère de différenciation.
12 questions à poser avant de signer un contrat avec un prestataire informatique
Au-delà des labels, un entretien approfondi avec un prestataire potentiel révèle beaucoup sur son sérieux. Voici les questions que tout dirigeant de PME devrait poser avant de signer, et qui permettent souvent de départager rapidement deux devis qui semblaient équivalents sur le papier.
- Où sont hébergées mes données et mes sauvegardes, dans quel pays et sous quelle juridiction ?
- Quel est votre délai d’intervention garanti en cas d’incident critique (SLA), et est-il écrit dans le contrat ?
- Mes sauvegardes sont-elles testées régulièrement, et à quelle fréquence effectuez-vous un test de restauration réel ?
- Utilisez-vous des accès distants individuels et tracés, ou un compte administrateur partagé entre techniciens ?
- Disposez-vous d’une assurance responsabilité civile professionnelle couvrant spécifiquement les dommages liés au numérique ?
- Sous-traitez-vous une partie de vos prestations, et si oui, à qui et avec quelles garanties ?
- Que se passe-t-il concrètement si je souhaite changer de prestataire : quelle est la clause de réversibilité ?
- Comment m’accompagnez-vous sur ma conformité RGPD et NIS2, si je suis concerné ?
- Pouvez-vous me fournir des références clients de taille comparable à la mienne, dans mon secteur ?
- Comment gérez-vous le déploiement d’outils d’intelligence artificielle et leur cadre d’usage au sein de mon entreprise ?
- Quel est votre protocole en cas de suspicion de cyberattaque chez l’un de vos clients ?
- Vos techniciens sont-ils formés et sensibilisés régulièrement aux nouvelles menaces cyber ?
Si votre futur prestataire déploie ou recommande des outils d’intelligence artificielle au sein de votre entreprise, assurez-vous qu’il vous aide également à encadrer leur usage. Notre guide sur la charte IA pour PME détaille les règles à mettre en place, et l’outil gratuit générateur de charte IA de SIAC Media permet d’en produire une en quelques minutes. Un bon prestataire doit également être capable de vous orienter parmi les nombreuses technologies IA appliquées à la cybersécurité, qu’il s’agisse de détection des menaces, de filtrage des emails ou de supervision automatisée : notre panorama complet des technologies IA en cybersécurité pour PME recense l’ensemble de ces solutions.
En parallèle du travail de votre prestataire, une bonne hygiène numérique individuelle reste indispensable, en particulier sur la gestion des mots de passe professionnels, qui demeure la porte d’entrée la plus fréquente des attaquants.
NordPass Entreprise : la gestion des mots de passe pendant que votre prestataire s’occupe du reste
Coffre-fort chiffré, partage sécurisé des identifiants entre collaborateurs, audit de la robustesse des mots de passe et détection des fuites de données. Une brique complémentaire simple à déployer, quel que soit votre prestataire informatique.
Souveraineté numérique : pourquoi la localisation de votre prestataire et de vos données compte ?
Un critère est trop souvent absent des grilles de sélection des PME françaises : la nationalité et la juridiction dont dépendent réellement votre prestataire et les infrastructures qu’il utilise pour héberger vos données. Ce n’est pas une question idéologique, c’est une question de droit et de gestion du risque.
Le CLOUD Act américain : le risque juridique invisible
Voté en mars 2018, le CLOUD Act américain autorise les autorités judiciaires américaines à contraindre toute entreprise de droit américain, y compris ses filiales étrangères, à leur communiquer des données qu’elle héberge, même si ces données se trouvent physiquement sur des serveurs situés en France ou dans l’Union européenne et concernent des citoyens européens. Ce mécanisme entre frontalement en contradiction avec l’article 48 du RGPD, qui exige un accord international avant qu’une autorité étrangère puisse accéder à des données personnelles européennes.
Concrètement, si votre prestataire informatique héberge votre messagerie, vos documents ou vos sauvegardes sur l’infrastructure d’un fournisseur américain (même via un centre de données situé en Europe), ces données peuvent en théorie être réquisitionnées par la justice américaine, sans que vous en soyez nécessairement informé. Pour une PME manipulant des données clients, des contrats ou des informations financières sensibles, ce risque juridique mérite d’être posé explicitement à votre prestataire lors du choix de ses partenaires technologiques.
Cela ne signifie pas qu’il faille écarter systématiquement tout prestataire utilisant des solutions américaines, mais qu’il faut exiger de la transparence sur ce point, et privilégier, à qualité de service équivalente, des prestataires qui s’appuient sur des infrastructures françaises ou européennes qualifiées SecNumCloud. C’est un argument de poids, mais il ne doit jamais se substituer à l’exigence de compétence technique réelle : la meilleure solution pour votre PME reste celle qui combine sécurité prouvée, conformité et souveraineté, pas la souveraineté seule.
Notre guide dédié à la cybersécurité souveraine pour PME détaille l’ensemble des alternatives françaises et européennes disponibles, poste par poste.
Partenaire affilié
Infomaniak : l’hébergeur souverain que votre prestataire peut recommander en confiance
Hébergement web, messagerie professionnelle et cloud hébergés exclusivement en Suisse et en France, entreprise 100 % indépendante et non soumise au CLOUD Act. Un choix cohérent pour tout prestataire qui bâtit une infrastructure réellement souveraine pour ses clients PME.
Les clauses contractuelles indispensables avant de signer
Un excellent entretien commercial ne remplace jamais un contrat solide. C’est le contrat, et lui seul, qui vous protège juridiquement en cas de défaillance du prestataire. Voici les clauses que tout contrat d’infogérance ou de sécurité managée doit impérativement contenir.
| Clause | Pourquoi elle compte | Point de vigilance |
|---|---|---|
| SLA (accord de niveau de service) | Fixe des délais d’intervention chiffrés et opposables | Exiger des pénalités financières en cas de non-respect, pas seulement un engagement moral |
| Réversibilité | Garantit la récupération de vos données et la portabilité vers un autre prestataire | Vérifier le délai et le format de restitution des données |
| Assurance RC Pro numérique | Couvre les dommages causés par une erreur ou une négligence du prestataire | Demander une attestation à jour, pas une simple mention verbale |
| Sous-traitance | Encadre l’usage de sous-traitants tiers ayant accès à vos données | Exiger une liste nominative et un accord préalable pour tout nouveau sous-traitant |
| Notification d’incident | Impose un délai de signalement en cas de faille détectée chez le prestataire | Un délai de 24 à 48h est raisonnable, au-delà c’est un signal négatif |
La clause de réversibilité : la garantie contre la dépendance
C’est probablement la clause la plus négligée par les PME, et pourtant la plus stratégique. Sans clause de réversibilité claire, un prestataire peut retenir vos données, vos accès administrateurs ou la documentation technique de votre infrastructure si la relation se dégrade, vous plaçant dans une situation de dépendance totale. Une bonne clause de réversibilité précise le délai de restitution (idéalement moins de 30 jours), le format des données restituées, et le coût éventuel de cette prestation, qui doit rester raisonnable et connu à l’avance.
Cette même exigence de vérification s’applique aux éditeurs de logiciels métier que votre prestataire vous recommande, en particulier pour des fonctions sensibles comme la facturation ou la gestion commerciale, qui manipulent des données financières et des données clients.
Axonaut : l’exemple d’un éditeur français qui applique lui-même ces critères
Logiciel de facturation et de gestion commerciale certifié ISO 27001, hébergé en France, conçu et exploité par une entreprise française. Un cas d’école pour illustrer la grille d’évaluation présentée dans cet article, appliquée à vos outils métier.
Quel budget prévoir pour un prestataire informatique fiable ?
Le prix le plus bas n’est jamais un bon critère de sélection en matière de cybersécurité, mais il reste une donnée essentielle pour construire un budget réaliste. En 2026, le marché français de l’infogérance se structure globalement autour des fourchettes suivantes, la cybersécurité représentant une part croissante de ce coût.
| Formule | Fourchette de prix | Ce qui est généralement inclus |
|---|---|---|
| Infogérance standard | 40 à 90 € HT / poste / mois | Support utilisateurs, supervision, sauvegardes, sécurité de base |
| Infogérance avec volet sécurité renforcé | 60 à 180 € HT / poste / mois | Supervision 24h/24, EDR, sensibilisation, gestion des correctifs |
| DSI externalisée | 1 500 à 5 000 € HT / mois | Pilotage stratégique, quelques jours d’intervention par mois |
| Recrutement d’un DSI interne (référence) | 80 000 à 120 000 € brut / an | Ressource dédiée à temps plein, à mettre en perspective du coût externalisé |
Ces montants doivent toujours être mis en perspective avec le coût d’une cyberattaque non maîtrisée. Pour objectiver ce calcul, notre article détaillant combien coûte réellement une cyberattaque à une PME et notre guide sur le budget cybersécurité à prévoir en 2026 permettent d’arbitrer objectivement entre le coût d’un bon prestataire et le coût d’un sinistre.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Protégez votre PME des cyberattaques grâce à l’intelligence artificielle. 41 pages, 6 chapitres, un plan d’action 90 jours. Sans jargon technique, actionnable dès la première lecture.
Les signaux d’alerte qui doivent vous faire fuir
Certains signaux, souvent visibles dès les premiers échanges commerciaux ou après quelques mois de collaboration, doivent immédiatement alerter un dirigeant de PME.
- Le prestataire refuse de communiquer un devis détaillé ou une grille tarifaire claire avant intervention
- Aucun test de restauration de sauvegarde n’a jamais été réalisé ni documenté
- Un seul mot de passe administrateur est partagé entre plusieurs techniciens, voire entre plusieurs clients
- Le contrat ne mentionne ni SLA chiffré, ni clause de réversibilité, ni assurance professionnelle
- Le prestataire ne peut citer aucune qualification (ExpertCyber, PASSI, ISO 27001) ni justifier son absence
- Les mises à jour de sécurité critiques prennent plusieurs semaines à être déployées
- Aucune communication proactive n’existe en cas d’alerte de sécurité majeure touchant vos outils
La présence de deux ou trois de ces signaux ne signifie pas nécessairement une malveillance du prestataire, mais révèle souvent un manque de maturité en cybersécurité qui, statistiquement, finit par se payer cher. Le cas Kaseya rappelle que même de grands éditeurs peuvent être en faute ; a fortiori un petit prestataire local sans process formalisé présente un risque proportionnellement plus élevé.
Comment auditer un prestataire déjà en place ?
Si vous travaillez déjà avec un prestataire depuis plusieurs années, la question n’est pas nécessairement d’en changer, mais de vérifier objectivement s’il répond toujours aux exigences actuelles. Cette démarche d’audit périodique de vos tiers est d’ailleurs devenue une obligation explicite dans le cadre de NIS2, et une bonne pratique recommandée quel que soit votre statut réglementaire. Notre article sur la gestion des risques tiers et l’audit de vos prestataires détaille la méthodologie complète, et notre guide sur le pentest pour PME explique comment faire tester concrètement la résistance de votre infrastructure, y compris les accès de votre prestataire.
La première étape la plus accessible reste un audit indépendant de votre propre posture de sécurité, incluant les accès accordés à vos prestataires externes. L’outil gratuit Audit Cyber PME de SIAC Media permet d’obtenir un premier diagnostic en quelques minutes, avant d’engager, si nécessaire, un audit plus poussé avec un prestataire qualifié PASSI.
Si votre entreprise entre dans le périmètre de la directive NIS2, ou si vous voulez simplement anticiper une extension future de son champ d’application, le fait de disposer d’un prestataire capable de vous accompagner sur cette conformité est devenu un critère de sélection à part entière.
Calculez votre score de conformité NIS2 en 10 minutes
Répondez aux questions et obtenez votre gap analysis personnalisée avec les priorités d’action.
- Auto-diagnostic EE / EI
- Score par domaine de mesures
- Identification des lacunes critiques
- Priorisation des actions correctives
- Résultat immédiat et détaillé
- 100 % gratuit, sans inscription
Ressource recommandée
Guide de mise en conformité NIS2 pour PME 2026
Évitez jusqu’à 10 M€ de sanctions. Auto-diagnostic EE/EI, gap analysis et plan d’action sur 6 mois pour mettre votre PME en conformité avec NIS2. Sans jargon juridique, actionnable dès la première lecture.
Que faire si votre prestataire est compromis ou responsable d’une faille ?
Malgré toutes les précautions, un incident reste toujours possible, y compris chez le prestataire le plus sérieux. Si votre prestataire vous informe d’une compromission de son côté, ou si vous suspectez que votre propre incident provient d’un accès qu’il détenait, plusieurs réflexes s’imposent rapidement. Notre guide complet sur qui prévenir en cas de cyberattaque (CNIL, ANSSI, assurance, police) détaille la marche à suivre pas à pas.
Sur le plan juridique, la question de la responsabilité entre le prestataire et le dirigeant de la PME cliente n’est pas toujours simple à trancher, et dépend directement des clauses contractuelles évoquées plus haut. Notre article sur la responsabilité du dirigeant en cas de cyberattaque précise ce que dit la loi à ce sujet. C’est également le moment de vérifier votre couverture auprès de votre assureur cyber : notre guide complet sur l’assurance cyber pour PME explique notamment pourquoi certains contrats excluent les sinistres liés à une négligence avérée d’un prestataire tiers, un point à vérifier avant la signature de tout contrat d’assurance.
La checklist finale pour choisir votre prestataire en toute confiance
Avant de signer, assurez-vous d’avoir coché chacun des points suivants.
- Le prestataire détient au moins un label ou une qualification reconnue (ExpertCyber, PASSI, ISO 27001, SecNumCloud selon le besoin)
- Le contrat précise un SLA chiffré, une clause de réversibilité et une assurance RC Pro numérique à jour
- La localisation d’hébergement de vos données est connue et documentée par écrit
- Les modalités de sous-traitance éventuelle sont transparentes et encadrées contractuellement
- Un test de restauration de sauvegarde a été réalisé et documenté au cours des 12 derniers mois
- Le prestataire peut vous accompagner sur votre conformité RGPD et, le cas échéant, NIS2
- Des références clients vérifiables, de taille comparable à la vôtre, ont été fournies
Pour aller plus loin et sécuriser l’ensemble de votre organisation au-delà du seul choix de votre prestataire, notre modèle de politique de sécurité informatique pour PME et notre guide complet de la cybersécurité pour PME 2026 constituent des compléments indispensables à cette démarche.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Conclusion
Choisir un prestataire informatique ne devrait jamais se résumer à comparer trois devis sur un tableur. C’est un choix de gouvernance qui engage directement la résilience de votre PME face aux cyberattaques, sa conformité réglementaire et, in fine, sa pérennité. Les certifications comme ExpertCyber, PASSI ou SecNumCloud, une lecture attentive des clauses contractuelles, une vigilance sur la localisation réelle de vos données et une exigence de transparence permanente constituent ensemble une grille de décision solide, bien plus fiable qu’un simple bouche-à-oreille.
Que vous soyez en train de sélectionner un nouveau prestataire ou de réévaluer celui en place, la première étape concrète consiste à objectiver votre niveau de sécurité actuel. L’outil gratuit Audit Cyber PME de SIAC Media vous permet d’obtenir ce diagnostic en quelques minutes, pour aborder ensuite toute négociation avec un prestataire en position de force et en toute connaissance de cause.
