SOC externalisé : guide de choix d'un MSSP pour les PME de moins de 250 salariés

Externaliser la supervision de la cybersécurité est devenu, pour les PME françaises, moins un débat de principe qu’un choix de fournisseur. Le marché des MSSP s’est densifié, les offres MDR se sont standardisées, et les cadres réglementaires comme NIS2 imposent un niveau de détection et de réponse incompatible avec l’amateurisme. Pour une entreprise de moins de 250 salariés, le sujet n’est plus de savoir s’il faut externaliser, mais comment choisir un prestataire crédible, dimensionner correctement le contrat, et garder la main sur les éléments stratégiques.

MSSP en 50 mots. Un MSSP (Managed Security Service Provider) est un prestataire qui exploite, supervise et fait évoluer les dispositifs de sécurité d’une organisation pour son compte. Pour une PME, l’externalisation couvre généralement la détection sur EDR/SIEM, la réponse aux incidents, la gestion des vulnérabilités et parfois les identités. Coût indicatif 2026 : 1500 à 8000 euros par mois selon périmètre.

Ce guide s’adresse aux dirigeants, DSI et responsables sécurité de PME qui doivent évaluer une offre MSSP, refondre un contrat existant ou simplement comprendre où se trouvent les vrais arbitrages. Il couvre les motifs d’externalisation, la comparaison entre SOC interne, MSSP et MDR, six critères de choix, des fourchettes tarifaires réalistes, les drapeaux rouges à éviter, et la place du MSSP dans une mise en conformité NIS2.

Pourquoi externaliser le SOC quand on est PME

La première raison est arithmétique. Un SOC opérant en 24/7 avec une astreinte qualifiée nécessite au minimum six à huit analystes pour assurer la rotation, auxquels il faut ajouter un responsable, des outils de supervision, des sources de threat intelligence et un dispositif d’escalade. Le coût complet annuel se situe entre 600 000 et 1,2 million d’euros, sans compter le risque de turn-over sur des profils très demandés. Pour une PME, ce dimensionnement est hors de portée.

La seconde raison est qualitative. La détection efficace repose sur l’exposition à un grand nombre de cas, la mutualisation des règles, et la connaissance des modes opératoires actifs. Un analyste d’un MSSP qui couvre 200 clients voit des chaînes d’attaque que l’analyste solitaire d’une PME ne croisera jamais. Le guide ENISA pour les PME souligne ce point : la mutualisation des compétences est l’un des leviers principaux d’amélioration du niveau de sécurité pour les structures de moins de 250 salariés.

La troisième raison est réglementaire. NIS2, DORA pour les acteurs financiers, certaines exigences sectorielles santé ou industrie imposent des capacités de détection et de notification d’incident qui supposent une astreinte qualifiée. La maîtrise de la cybersécurité pour les TPE et PME publiée par l’ANSSI recommande explicitement le recours à des prestataires qualifiés pour les fonctions critiques que l’entreprise ne peut pas internaliser.

Le rapport Verizon Data Breach Investigations Report 2025 indique que les délais médians entre la compromission initiale et la détection restent élevés dans les structures de moins de 250 salariés, faute de supervision continue. Une externalisation correctement contractualisée comble cette lacune sans recruter une équipe complète.

SOC interne vs MSSP vs MDR : trancher selon la taille et le profil

Trois modèles cohabitent, et la confusion entre eux est fréquente.

Le SOC interne est une cellule dédiée, employée par l’entreprise, qui exploite ses propres outils. Avantages : connaissance fine du métier, contrôle total des données, capacité de personnalisation. Inconvénients : coût élevé, difficulté à recruter et à retenir, courbe d’apprentissage longue. Ce modèle ne devient viable qu’à partir d’environ 500 à 1000 salariés, dans des secteurs où la donnée est très sensible (banque, santé, défense).

Le MSSP (Managed Security Service Provider) est un prestataire qui opère pour le compte du client un large catalogue de services : supervision SIEM, gestion d’EDR, administration de pare-feux, scans de vulnérabilités, support sur les incidents, parfois aussi gestion des identités et conformité. Le MSSP est généraliste et profond. C’est le format adapté quand une PME veut déléguer non seulement la détection, mais aussi l’exploitation quotidienne d’outils de sécurité.

Le MDR (Managed Detection and Response) est un service plus ciblé, centré sur la détection des menaces et la réponse aux incidents, généralement à partir d’une solution EDR ou XDR opérée par le prestataire. Le MDR est plus simple à contractualiser, plus rapide à déployer, et souvent moins onéreux qu’un MSSP complet. Il convient bien aux PME qui ont déjà une DSI mais qui n’ont pas la capacité de surveiller les alertes 24/7.

En pratique, beaucoup de prestataires affichent les deux étiquettes. Le critère qui compte n’est pas le terme commercial, mais le contenu du périmètre : quels outils sont supervisés, quels signaux sont collectés, quelle latence d’alerte, quelle capacité de réponse, quelles heures de couverture. Pour une PME, la question initiale est moins MSSP ou MDR que : quelle profondeur de supervision pour quel budget.

Les 6 critères de choix d’un MSSP pour PME

Choisir un MSSP, c’est arbitrer entre couverture, qualité de l’analyse, qualité du contrat et qualité de la relation. Six critères structurent l’évaluation.

Périmètre fonctionnel et sources collectées. Un MSSP qui ne consomme que les logs EDR et ne touche pas aux identités, aux journaux d’application ou aux signaux externes (fuites d’identifiants, exposition publique) couvre une fraction étroite du risque. Demander la liste exhaustive des sources que le prestataire intègre, et celles qu’il refuse ou facture en supplément. Les meilleurs MSSP combinent télémétrie endpoint, identités (Azure AD, Okta), e-mail, réseau, applications SaaS critiques et sources externes de threat intelligence.

Niveaux de service (SLA) réels. Tout contrat affiche des SLA, peu les respectent vraiment. Trois engagements méritent un examen attentif : le délai de prise en charge d’une alerte critique (souvent 15 à 30 minutes), le délai de notification au client, et le délai de qualification de l’incident. Demander les rapports trimestriels sur ces SLA pour les douze derniers mois, agrégés sur l’ensemble des clients du prestataire. Un MSSP qui refuse de partager ces données fait partie des drapeaux rouges décrits plus loin.

Qualité des analystes et localisation. Le sujet des centres opérationnels offshore est sensible. Une PME française doit savoir où sont situés les analystes qui traiteront ses incidents, quelle est leur certification, quel est leur turn-over. Pour les structures soumises à des exigences de souveraineté ou de classification de données, exiger une équipe basée en France ou dans l’Union européenne est légitime. Le coût horaire est plus élevé, mais le décalage culturel et linguistique sur un incident est un coût caché significatif.

Outillage et propriété des données. Certains MSSP imposent leur propre stack (SIEM propriétaire, EDR partenaire) avec une logique de captivité. D’autres acceptent d’opérer la stack du client. Les deux modèles ont leur intérêt, mais la question décisive est la propriété et la portabilité des données : règles de détection, journaux, indicateurs de compromission. Sans clause explicite de restitution dans un format ouvert (voir la FAQ), changer de prestataire coûtera plusieurs mois d’historique perdu.

Capacité de réponse et CERT. Détecter sans répondre est de peu d’utilité. Vérifier si le MSSP dispose d’une équipe CERT interne ou s’il sous-traite la réponse à incident à un partenaire, et dans ce cas dans quelles conditions. Le contrat doit préciser le nombre d’heures de réponse incluses, le coût horaire au-delà, et la possibilité de mobiliser une équipe sur site si nécessaire. Un retainer dédié pour les incidents majeurs est un signe de maturité.

Reporting et gouvernance. Un bon MSSP fournit un comité de pilotage trimestriel, un rapport mensuel synthétique compréhensible par la direction, et un accès tableau de bord en temps réel. Le reporting n’est pas un détail commercial : c’est l’outil qui permet à la direction d’une PME de s’approprier le sujet sécurité, de justifier le budget et de répondre aux audits. Refuser un prestataire qui ne propose qu’un PDF mensuel illisible.

Tarification réaliste 2026 : les fourchettes par taille

Le marché reste opaque, et les comparaisons publiques sont rares. Sur la base des appels d’offres observés et des grilles publiées par les principaux acteurs français, voici les fourchettes indicatives pour 2026, en euros hors taxes par mois, hors frais de mise en service.

TPE de moins de 50 postes. Entre 1500 et 3500 euros par mois pour un périmètre standard : EDR managé sur les postes et serveurs, supervision en heures ouvrées étendues, réponse aux incidents incluse jusqu’à un plafond annuel, rapport mensuel. Les frais de mise en service ajoutent 5000 à 10000 euros la première année (déploiement EDR, intégration SIEM, configuration des règles, atelier de cadrage).

PME de 50 à 250 postes. Entre 3500 et 8000 euros par mois pour un périmètre élargi : EDR, identités (Microsoft 365 ou Okta), supervision e-mail, supervision 24/7 avec astreinte, intégration de signaux de threat intelligence externe, comité de pilotage trimestriel. Les frais de mise en service se situent entre 10000 et 15000 euros, avec des prestations de tuning sur les trois premiers mois.

Au-delà de 250 postes. Les offres deviennent sur mesure, et le mode forfaitaire laisse souvent place à un modèle mixte (forfait socle plus consommation à l’évènement). Les budgets dépassent fréquemment 10000 euros par mois, et un travail de comparaison fournisseur est indispensable.

Trois variables impactent ces fourchettes. La première est la criticité du métier : santé, finance, OIV ou secteurs réglementés tirent les prix vers le haut, justifié par les exigences de procédures et d’audits. La deuxième est l’engagement de durée : un contrat trois ans diminue souvent le tarif mensuel de 10 à 20 % par rapport à un engagement annuel. La troisième est l’exclusivité de stack : accepter la stack du prestataire (EDR partenaire, SIEM propriétaire) réduit la facture mais augmente la captivité.

Un point souvent sous-estimé : la facture finale dépasse régulièrement le devis initial de 15 à 30 % la première année, une fois additionnés les ajustements de périmètre, les heures de réponse à incident hors forfait, et les modules optionnels facturés à l’usage. Provisionner cette marge dans le budget évite les surprises.

Drapeaux rouges à éviter

Un MSSP crédible se reconnaît autant à ce qu’il accepte qu’à ce qu’il refuse. Quatre signaux doivent déclencher une alerte pendant l’évaluation.

Refus de communiquer des SLA mesurés. Un prestataire qui parle de SLA mais ne fournit aucune mesure agrégée sur ses clients est en posture commerciale, pas en posture d’engagement. Demander un extrait anonymisé des rapports trimestriels sur les douze derniers mois est légitime. Le refus est un signal fort.

Opacité sur la localisation des équipes. Les MSSP qui n’identifient pas clairement où se trouvent leurs analystes (France, UE, hors UE) cachent souvent un dispositif offshore peu compatible avec les attentes d’une PME française, surtout sur des sujets sensibles comme la donnée personnelle ou la propriété intellectuelle.

Absence de clause de réversibilité. Si le contrat n’organise pas la sortie (restitution des journaux, des règles de détection, des indicateurs, calendrier de transition), changer de prestataire coûtera plusieurs mois de mise en place et d’historique perdu. Cette clause est aussi importante que les SLA d’entrée.

Promesse de couverture exhaustive sans questions sur l’environnement. Un MSSP qui propose un devis sans avoir audité la stack existante, le niveau de maturité, les outils en place et les flux critiques vend un produit générique. Le bon prestataire commence par poser des questions ; le mauvais répond par un PDF.

D’autres signaux d’alerte sont plus subtils : absence de certifications individuelles des analystes, recours systématique à la sous-traitance pour la réponse à incident, contrats opaques sur les volumes de données collectées, facturation à la donnée ingérée sans plafond. Tous méritent d’être abordés en phase d’avant-vente.

NIS2 et MSSP : ce que le prestataire couvre, ce qu’il ne couvre pas

La directive NIS2 (UE) 2022/2555, transposée en France en 2025, étend significativement le périmètre des entités régulées. Beaucoup de PME de secteurs essentiels ou importants (énergie, transport, santé, infrastructure numérique, fournisseurs de services managés) y sont désormais soumises. Les obligations vont de la gouvernance de la sécurité à la notification d’incident sous 24 heures, en passant par la gestion des risques fournisseurs et la formation de la direction.

Un MSSP joue un rôle clé dans cette mise en conformité, mais il ne se substitue pas à la responsabilité juridique de l’entité régulée. Concrètement, le MSSP peut prendre en charge les obligations techniques de l’article 21 : détection d’intrusion, gestion des incidents, supervision continue, réponse aux incidents, traitement de signaux SIEM et de threat intelligence. Sur la notification d’incident, il fournit la matière (qualification, classification, chronologie) que le RSSI ou le DG transmet à l’autorité compétente dans le délai imposé.

En revanche, le MSSP ne couvre pas la gouvernance de la sécurité au niveau de la direction, l’analyse des risques métier, la formation des dirigeants, la cartographie des fournisseurs critiques (qui inclut le MSSP lui-même), ni la documentation contractuelle exigée par l’article 21 sur la chaîne d’approvisionnement. Ces sujets restent à la charge du client, et un bon MSSP les rappelle en phase d’avant-vente plutôt que de prétendre tout couvrir.

Un point pratique : certaines PME se croient hors du périmètre NIS2 alors qu’elles y sont entrées via un effet de cascade (sous-traitant d’une entité régulée, fournisseur de services managés). Vérifier ce statut est une étape préalable au choix du MSSP. La logique est différente entre une PME hors NIS2 (qui choisit un MSSP pour des raisons d’efficacité) et une PME régulée (qui doit pouvoir prouver le dispositif lors d’un audit). Voir le guide DORA pour le secteur financier pour une logique parallèle dans le secteur bancaire et assurantiel, et la notification d’incident NIS2 expliquée pour les délais et formats.

Stealed comme brique DRPS dans une offre MSSP

Stealed n’est pas un MSSP. C’est une plateforme française de détection de fuites d’identifiants en temps réel, conçue pour s’intégrer en tant que brique de threat intelligence dans le dispositif d’un client final ou d’un prestataire managé.

Concrètement, Stealed couvre une catégorie de signaux que peu de SIEM voient nativement : les identifiants exfiltrés par des infostealers, exposés sur des forums cybercriminels ou diffusés sur des canaux Telegram privés. Ce sont les sources qui alimentent une part significative des compromissions initiales constatées en PME, et qui restent invisibles pour les outils de supervision endpoint classiques. Un MSSP qui intègre une source comme Stealed dans son SIEM ou son XDR augmente sa capacité de détection précoce, en particulier sur les identifiants compromis avant qu’ils ne soient utilisés.

Pour les PME qui souscrivent un contrat MSSP, plusieurs configurations sont possibles. Le plan Free permet de surveiller un domaine racine sans engagement, et constitue un point d’entrée pour évaluer le service. Le plan Pro à 149 euros par mois donne accès aux données de fuite et à l’API REST, ce qui permet à un MSSP d’ingérer le signal dans son SIEM. Le plan Enterprise inclut un mode multi-tenant pensé pour les MSSP, avec gestion centralisée de plusieurs clients finaux, alerting multicanal et support dédié.

L’approche revendiquée est complémentaire, pas concurrente. Stealed ne remplace ni un EDR, ni un SIEM, ni un MSSP. Il enrichit la chaîne de détection sur un signal externe spécifique, hébergé en France chez Scaleway, sans transit hors UE. Pour une PME qui négocie son contrat MSSP, demander si le prestataire intègre déjà une source de fuites d’identifiants, et sous quelle forme, fait partie des questions utiles à poser.

Réserver une démo Stealed ou créer un compte Free pour évaluer la couverture sur votre domaine.

Pour aller plus loin

Externaliser le SOC est une décision structurante qui mérite plus qu’un comparatif de devis. Trois principes résument l’approche d’une PME pragmatique : choisir le périmètre avant le prestataire, exiger des SLA mesurés et une réversibilité contractuelle, traiter le MSSP comme un fournisseur stratégique, pas comme un sous-traitant d’exécution.

Quatre ressources publiques structurent l’analyse :

• Le guide ANSSI Maîtriser la cybersécurité pour les TPE et PME, qui formalise les bonnes pratiques attendues d’une PME française.
• Le portail ENISA Cybersecurity for SMEs, qui fournit un référentiel européen sur la posture des structures de moins de 250 salariés.
• Le Verizon Data Breach Investigations Report 2025, qui documente les vecteurs de compromission et les délais de détection observés.
• L’article 21 de la directive NIS2, qui détaille les mesures de gestion des risques attendues des entités régulées.

Pour explorer les sujets connexes, voir le guide CTI sur la threat intelligence en entreprise, le glossaire SIEM pour le vocabulaire de la supervision, et le guide DORA pour les acteurs financiers soumis à un cadre plus exigeant.