L'acheteur s'est déplacé vers le conseil d'administration. La plupart des MSP parlent encore à la salle des serveurs.

Lors d’un récent événement destiné aux fournisseurs de services managés, un directeur sécurité expérimenté d’un distributeur européen m’a posé une question qui m’est restée en tête. Non pas comment fonctionne la plateforme. Ni quelles fonctionnalités comptent. Il m’a demandé comment un MSP construit un service autour de la conformité au cours des quatre-vingt-dix premiers jours. Comment transformer un casse-tête réglementaire en une proposition que l’on peut réellement vendre.

Cette question en dit plus long qu’il n’y paraît. Elle révèle un basculement que la plupart des MSP ressentent sans encore l’avoir traduit dans leur modèle économique. La personne qui achète la cybersécurité a changé. La question qu’elle pose a changé. Et les MSP qui n’évoluent pas avec ce changement ne perdront pas des clients parce que leur ingénierie était faible. Ils perdront des clients parce qu’un concurrent aura su tenir une conversation qu’eux-mêmes ne pouvaient pas avoir.

L’acheteur n’est plus le responsable informatique

Pendant la majeure partie de la dernière décennie, la personne qui achetait la sécurité auprès d’un MSP était le responsable informatique. La conversation était technique. Le budget se trouvait au sein de l’IT. La question se résumait à une variante de « sommes-nous à jour des correctifs, sommes-nous couverts, sommes-nous surveillés ».

Cette personne n’est plus la seule acheteuse, et de moins en moins celle qui décide. La cybersécurité est montée dans l’organisation, jusqu’au conseil d’administration, et c’est la loi qui l’y a placée. En vertu de la directive NIS2, la responsabilité de la gestion du risque cyber incombe explicitement à l’organe de direction, et les dirigeants peuvent être tenus personnellement responsables en cas de manquement à cette gouvernance. NIS2 va même plus loin : elle impose aux États membres de veiller à ce que les membres du conseil d’administration suivent une formation sur le risque cyber, une obligation qui s’étend désormais aux dirigeants de toute l’Union européenne. L’ENISA, l’agence de l’Union européenne pour la cybersécurité, a publié en juin 2025 des lignes directrices sur ces rôles et responsabilités, et les transpositions nationales traduisent ce principe en droit contraignant à des rythmes différents. L’Allemagne a bougé la première, et fermement : le NIS2-Umsetzungsgesetz, la loi de transposition allemande, est entré en vigueur le 6 décembre 2025 sans période de transition, ce qui signifie que les organisations ayant attendu des lignes directrices d’application étaient déjà non conformes dès le premier jour. Les Pays-Bas suivent de près. Leur parlement a adopté la Cyberbeveiligingswet, la loi néerlandaise de transposition de NIS2, le 15 avril 2026, et son entrée en vigueur est attendue pour le 1er juillet 2026. Le décret d’application qui précise les obligations détaillées, le Cyberbeveiligingsbesluit, rend explicite l’obligation de formation des dirigeants.

Relisez ce dernier point. Partout en Europe, et désormais inscrit dans le droit national pays après pays, les membres des conseils d’administration sont tenus de se former au risque cyber. Lorsque le législateur inscrit dans le droit contraignant une obligation de formation pour les dirigeants, le sujet a sans ambiguïté quitté la salle des serveurs.

La question que pose désormais le conseil d’administration de votre client n’est donc plus « sommes-nous à jour des correctifs ». C’est « pouvons-nous prouver que nous sommes résilients et conformes ». Et ce simple mot, prouver, change tout pour vous en tant que MSP.

Pourquoi « prouver » change-t-il tout ?

Il existe un monde de différence entre être sécurisé et être capable de le démontrer. Affirmer que « nous prenons la sécurité au sérieux » suffisait autrefois à renouveler une police d’assurance cyber ou à satisfaire le service achats d’un client. Ce n’est plus suffisant aujourd’hui.

L’assurance cyber en est l’exemple le plus clair. La souscription s’est discrètement transformée en un audit technique. Selon le rapport 2026 sur le marché cyber d’Aon, « environ trois assureurs sur quatre effectuent désormais un scan externe de la surface d’attaque lors de la souscription », plutôt que de s’appuyer sur une simple auto-déclaration. Les enjeux financiers sont importants : des contrôles documentés peuvent faire varier une prime de vingt à quarante pour cent lors du renouvellement, et S&P Global Ratings prévoit une hausse des primes cyber de quinze à vingt pour cent en 2026, après deux années de baisse. Une organisation incapable de produire des preuves ne paie pas seulement plus cher. Elle peut se retrouver sans aucune couverture disponible, à quelque prix que ce soit.

Le même schéma se retrouve dans les questionnaires fournisseurs. Les entreprises du mid-market et les PME en reçoivent désormais par dizaines, chacun ne demandant plus si des contrôles existent, mais d’en apporter la preuve. Comme la communauté des distributeurs et des MSP l’a elle-même documenté, l’attestation d’une page a cédé la place à des questionnaires détaillés et, dans certains cas, à des évaluations externes avant la souscription d’une police. Une preuve continue l’emporte sur un instantané annuel, car l’acheteur en face a appris qu’une attestation ponctuelle ne lui en dit que très peu.

C’est là le cœur du basculement. Le marché est passé de l’affirmation à la preuve. Et prouver est un travail continu, structuré et chronophage. C’est précisément là que se situent l’opportunité, et le problème, pour les MSP.

Pourquoi la plupart des MSP ne suivent pas ce basculement

Voici la partie inconfortable. La plupart des MSP ne peuvent pas tenir aujourd’hui la conversation du conseil d’administration. Non pas parce qu’ils font mal leur travail. Mais à cause de deux facteurs qui n’ont rien à voir avec la qualité de leur ingénierie.

Le premier, ce sont les outils. Un environnement client type comprend une protection des terminaux, une sécurité Microsoft 365, un outil de gestion des identités, un gestionnaire de mots de passe et une solution de sauvegarde. Chacun de ces outils excelle dans sa propre tâche. Mais chacun parle son propre langage, produit son propre rapport et vit dans son propre tableau de bord. Lorsque le directeur financier arrive et demande « pouvons-nous prouver que nous sommes conformes à NIS2 », il n’existe aucun endroit unique pour répondre à cette question. Quelqu’un doit ouvrir consoles après consoles et assembler la réponse à la main, en associant manuellement les constats techniques aux contrôles de conformité dans un tableur. Plusieurs consoles, des rapports dispersés, aucune réponse unique.

La seconde raison concerne l’équipe, et elle est la plus sérieuse des deux. Même si l’outillage parvenait à assembler cette vue d’ensemble, le MSP ne dispose pas des heures nécessaires. Les bons ingénieurs sont rares et coûteux, et ceux dont vous disposez sont facturables sur le travail qui rapporte aujourd’hui : cycles de correctifs, réponse aux incidents, intégration de nouveaux postes. Le travail de preuve que réclame désormais le conseil d’administration ne trouve sa place nulle part. Il est trop stratégique pour le service desk et trop détaillé pour la direction, et personne ne dispose d’une semaine libre par client pour le réaliser à la main. Ainsi, même les MSP qui perçoivent clairement l’opportunité ne parviennent souvent pas à l’exploiter, car ce travail ne s’adapte pas à l’échelle de l’équipe dont ils disposent.

Deux lacunes, donc. Les outils ne parviennent pas à traduire, et l’équipe ne parvient pas à suivre. Ensemble, elles expliquent pourquoi tant de MSP compétents restent bloqués à livrer un excellent travail technique à un acheteur qui a discrètement quitté la pièce.

La conformité n’est pas un coût. C’est votre plus grande opportunité de marge depuis dix ans.

La majeure partie du marché traite NIS2, DORA et le reste comme un fardeau. Un coût. Une obligation de conformité administrative que quelqu’un, quelque part, doit absorber. Ce cadrage est compréhensible, et c’est justement pour cela que l’opportunité reste sur la table.

Retournez le cadrage. Chaque réglementation qui s’impose à votre client est pour lui une raison de plus d’avoir besoin d’un partenaire capable de la traduire en quelque chose que le conseil d’administration peut mettre en œuvre. Ce n’est pas un coût pour vous. C’est une ligne de service. Et elle s’empile en plusieurs flux de marge à la fois.

Il y a le revenu récurrent issu de la plateforme qui rend possible une preuve continue, vendu avec une marge intégrée et croissante à mesure que l’environnement du client se développe. Il y a une nouvelle couche de services de conseil, facturés à des tarifs de conseil plutôt qu’à des tarifs d’ingénierie : reporting trimestriel au conseil d’administration, revues de préparation à NIS2, accompagnement sur les questionnaires fournisseurs, préparation aux audits. Il y a la rétention, car une fois que vous êtes le partenaire qui produit le tableau de bord sur lequel s’appuie le conseil d’administration, vous êtes structurellement ancré et très difficile à remplacer. Et il y a du nouveau business, car le MSP capable d’entrer chez un prospect et d’ouvrir sur la conversation de conformité se positionne à un niveau où le prix n’est pas la première question.

De nombreux fournisseurs présents à cet événement parlaient de fonctionnalités. La conversation qui compte réellement pour un dirigeant de MSP porte sur la marge, la différenciation, les relations clients et la valeur de l’entreprise à long terme. La conformité, une fois recadrée, est précisément là où se trouvent ces quatre éléments.

Comment construire cela au cours des quatre-vingt-dix premiers jours ?

C’était la question du distributeur, et elle mérite une réponse concrète plutôt qu’un slogan.

Ne commencez pas par un grand programme de transformation. Commencez par une poignée de clients existants dont vous connaissez déjà l’environnement et avec lesquels la relation est bonne. Produisez une chose qu’ils n’ont encore jamais eue : une vue unique, lisible par un conseil d’administration, de leur situation par rapport aux référentiels qui s’appliquent à eux, avec les risques les plus importants priorisés et un plan pour y remédier. Cet artefact, la chose que le conseil d’administration peut réellement lire, est ce qui transforme une relation technique en une relation de conseil.

Laissez ensuite le calendrier faire la vente. La plupart de vos clients ont un renouvellement d’assurance cyber à venir, et la communauté des courtiers est explicite : la préparation doit commencer environ quatre-vingt-dix jours avant le renouvellement. Beaucoup d’entre eux ont un questionnaire fournisseur qui dort dans une boîte de réception, sans que personne ne sache comment y répondre efficacement. Chacune de ces situations constitue une raison naturelle et limitée dans le temps pour que le client dise oui maintenant plutôt que plus tard. Vous n’inventez pas la demande. Vous répondez à une échéance que le client a déjà, avec un service dont il ignorait que vous pouviez le proposer.

Construisez le service récurrent autour de ce rythme : une surveillance continue en dessous, un rapport périodique au conseil d’administration au-dessus, des heures de conseil lorsque quelque chose doit être interprété ou corrigé. Quatre-vingt-dix jours suffisent pour valider le modèle sur quelques comptes. Ce n’est pas suffisant pour le déployer sur l’ensemble de votre base de clients, et vous ne devriez pas essayer.

Tous les MSP n’ont pas à devenir des cabinets de conseil

En toute honnêteté, ce n’est pas la seule voie viable. Certains MSP sont d’excellents opérateurs techniques, ils s’épanouissent dans ce rôle, et il continuera d’exister une réelle demande pour de la livraison purement technique. S’il s’agit d’un choix stratégique délibéré, fait les yeux ouverts, c’est un choix parfaitement défendable.

Le risque ne réside pas dans le choix de rester technique. Le risque réside dans l’absence de choix, et dans le fait de découvrir, dix-huit mois plus tard, que la relation de conseil avec vos meilleurs clients a été discrètement récupérée par quelqu’un d’autre. Un MSP concurrent qui s’y est mis deux ans plus tôt. Un spécialiste régional de la sécurité qui vous prend désormais vos comptes du mid-market parce qu’il sait répondre à la question du conseil d’administration. Ou un cabinet de conseil qui descend en gamme, qui ne touchera pas au travail technique mais s’appropriera volontiers la conversation avec le directeur financier, avant de décider quel MSP obtient la mise en œuvre, et à quelles conditions.

Le choix

Vos clients vont avoir la conversation sur la résilience et la conformité. Ce point ne dépend plus de vous ; les régulateurs, les assureurs et leurs plus gros clients l’ont déjà tranché. La seule question ouverte est de savoir s’ils auront cette conversation avec vous, ou avec quelqu’un d’autre.

Par souci de transparence : ma propre entreprise, Guardian360, est un éditeur de logiciels indépendant dans ce secteur. Nous développons la plateforme Lighthouse et ne vendons que par l’intermédiaire de partenaires, jamais directement, j’ai donc un intérêt évident à voir les MSP gagner ce basculement. Mais l’argument tient sans nous. Les MSP qui disparaîtront au cours des prochaines années ne disparaîtront pas parce que leur ingénierie aura été insuffisante. Ils disparaîtront parce qu’un concurrent aura su tenir une conversation qu’eux-mêmes ne pouvaient pas avoir.

Il vaut donc la peine de vous poser la question franchement. Êtes-vous dans le métier des fonctionnalités, ou êtes-vous dans le métier de rendre vos clients heureux ? L’un de ces deux métiers se copie facilement en trois ans. L’autre non.