--- title: "Vous ne pouvez pas vendre ce que vous n'avez pas construit | Guardian360" description: "Les MSP vendent l'IA et la conformité à leurs clients alors que leur propre posture NIS2 est encore un chantier en cours. Vous ne pouvez pas vendre de manière crédible ce que vous n'avez pas construit vous-même." url: https://guardian360.net/fr/blog/you-cannot-sell-what-you-have-not-built/ locale: fr source: guardian360.net --- [← Tous les articles](https://guardian360.net/fr/blog) Partenaires # Vous ne pouvez pas vendre ce que vous n'avez pas construit Par Jan Martijn Broekhof · 26 juin 2026 Lors d’une récente table ronde sectorielle sur le poste de travail de 2030, Ewoud Melis, CEO de Trustteam, a dit tout haut ce que la plupart des MSP évitent discrètement. Mettez d’abord de l’ordre dans vos propres données. Optimisez d’abord vos propres flux de travail. Ce n’est qu’ensuite que vous pourrez aborder avec vos clients la conversation sur l’IA. Cela paraît évident. Ce n’est pourtant pas ce qui se passe. La remarque a fait mouche, car elle nommait une lacune que le marché s’emploie à dissimuler. À travers l’Europe, les MSP vendent des déploiements Copilot, des outils de productivité basés sur l’IA et des évaluations de préparation à l’IA à leurs clients, alors que leur propre posture de sécurité, leurs obligations de conformité et leurs dispositifs de résilience restent des chantiers en cours. Ce n’est pas seulement un problème de crédibilité. C’est une vulnérabilité. Et NIS2 est sur le point d’en faire une responsabilité juridique. ## L’écart de crédibilité que personne n’intègre dans son prix Une étude récente menée par AvePoint et Omdia, portant sur 333 MSP, a révélé que plus de la moitié des répondants considèrent les enjeux de gouvernance et de conformité comme le principal obstacle empêchant leurs clients d’adopter l’IA. Pas la sécurité des données. Pas la pénurie de compétences. Pas le retour sur investissement. La gouvernance et la conformité. L’ironie est que l’on demande au MSP de résoudre un problème qu’il n’a pas résolu pour lui-même. Le rapport Omdia sur les tendances MSP pour 2026 est encore plus direct : les MSP les plus performants déploient d’abord l’IA en interne, pour automatiser les opérations de service desk, renforcer la gestion des connaissances et consolider les opérations de sécurité, avant de monétiser des services externes basés sur l’IA. Cet ordre des priorités n’est pas un simple confort. C’est ce qui distingue un MSP capable de démontrer quelque chose d’un MSP qui ne peut que le décrire. Ce qui rend cet écart dangereux, c’est que les clients deviennent plus avertis. Robin Ody, practice leader pour l’analyse MSP chez Omdia, l’a formulé sans détour : les MSP qui adoptent des approches orientées solutions métier et spécifiques à un secteur seront les mieux positionnés pour capter cette demande. L’inverse est également vrai. Les MSP incapables de démontrer leur propre posture de gouvernance auront du mal à tenir cette conversation au niveau du conseil d’administration, là où elle doit de plus en plus avoir lieu. ## « Weerbaarheid » et « veerkracht » : deux notions que les MSP néerlandais continuent de confondre Le débat en langue néerlandaise sur ce marché mélange souvent deux notions qui méritent d’être distinguées. La weerbaarheid, la résilience au sens de la robustesse, consiste à empêcher les incidents de se produire en premier lieu. Contrôles d’accès solides, analyse continue des vulnérabilités, discipline de correctifs, configurations durcies. La veerkracht, plus proche de la capacité de rétablissement, concerne ce qui se passe après qu’un incident survient. Réponse aux incidents, continuité d’activité, intégrité des sauvegardes, capacité à rétablir rapidement les opérations. Les deux comptent. Mais elles exigent des investissements différents, des questions différentes et des conversations différentes avec les clients. Un MSP qui n’a pas fait cette distinction en interne la confondra également dans ses conversations avec les clients, et cette confusion tend à produire des organisations qui ne sont ni particulièrement robustes, ni particulièrement douées pour se rétablir. NIS2 ne confond pas ces deux notions. La directive exige explicitement des entités concernées qu’elles traitent à la fois la gestion des risques et les mesures de résilience, et impose des obligations de signalement qui supposent une capacité de réponse aux incidents fonctionnelle. Pour les MSP opérant aux Pays-Bas, la Cyberbeveiligingswet, la transposition néerlandaise de NIS2, devrait entrer en vigueur au deuxième trimestre 2026, remplaçant la Wbni existante. Il ne s’agit plus d’une obligation future. Elle arrive maintenant. ## Ce que NIS2 exige réellement du MSP lui-même Une idée reçue persiste selon laquelle NIS2 serait avant tout un problème client, quelque chose que les MSP aident leurs clients à résoudre. Ce n’est que partiellement vrai. Les MSP entrent eux-mêmes dans le champ d’application de NIS2 en tant que fournisseurs de services ICT gérés, une catégorie explicitement listée comme couverte. L’ENISA a publié des directives techniques spécifiques de mise en œuvre pour les MSP au titre du règlement d’exécution (UE) 2024/2690. Les obligations ne sont pas abstraites. Elles comprennent des évaluations de risques régulières, des contrôles d’accès et d’identité, la détection et le signalement des incidents, des mesures de sécurité de la chaîne d’approvisionnement, ainsi que des structures de gouvernance avec une responsabilité explicite de la direction. En Allemagne, où la loi de transposition de NIS2 est entrée en vigueur le 5 décembre 2025, les organes de direction sont personnellement responsables des manquements à la conformité. Le nombre d’entités réglementées en Allemagne devrait à lui seul passer d’environ 4 500 à environ 29 000. La responsabilité au niveau du conseil d’administration est l’intention poursuivie dans toute l’UE, pas une particularité allemande. Un MSP qui conseille ses clients sur la conformité NIS2 alors que ses propres obligations au titre de la même directive restent non traitées se trouve dans une position intenable. Ni commercialement, ni, de plus en plus, juridiquement. ## Pourquoi l’IA rend cet écart dangereux, et pas seulement embarrassant Le contexte de menace a évolué plus vite que la plupart des cadres de gouvernance. Une recherche de Flashpoint, publiée en mars 2026, a révélé que la cybercriminalité assistée par IA a bondi de 1 500 % en 2025. Les attaquants utilisent les mêmes grands modèles de langage et les mêmes outils d’automatisation que ceux que les MSP vendent à leurs clients comme des outils de productivité. Le Shadow AI, c’est-à-dire l’utilisation par les employés d’outils d’IA non validés en dehors des canaux approuvés, s’impose comme un vecteur majeur de fuite de données, selon le rapport Omdia sur les tendances MSP 2026. La conséquence pratique est la suivante. Un MSP qui déploie des outils d’IA dans l’environnement d’un client sans avoir d’abord compris sa propre exposition aux menaces liées à l’IA, et sans avoir renforcé son propre environnement en conséquence, étend sa surface d’attaque à chaque client qu’il touche. Les MSP sont des cibles de grande valeur précisément en raison de leurs accès privilégiés. L’adversaire n’a pas besoin de compromettre chaque client individuellement si le MSP constitue le point d’accès commun. Dans ce contexte, la weerbaarheid signifie comprendre à quoi ressemblent réellement les attaques assistées par IA, surveiller en continu sa propre infrastructure pour détecter les vulnérabilités qui les rendent possibles, et être capable de démontrer cette surveillance à ses clients et aux régulateurs. Ce n’est pas une capacité future. C’est une exigence actuelle. ## À quoi ressemble réellement le fait de montrer l’exemple ? Cela commence par l’environnement propre du MSP. Non pas une case cochée dans une auto-évaluation, mais un programme continu et mesurable. Cela signifie une analyse quotidienne de la surface d’attaque du MSP lui-même, pas seulement des environnements clients. Cela signifie une posture de conformité documentée et testée par rapport aux normes que le MSP vend à d’autres, NIS2, ISO 27001, et tout référentiel sectoriel spécifique applicable à sa base de clients. Cela signifie être capable de montrer à un client, de manière concrète et auditable, que le MSP a lui-même suivi le chemin qu’il recommande. Chez Guardian360, que j’ai fondé en 2015, nous avons construit la plateforme Lighthouse pour donner aux MSP et à leurs clients une visibilité continue sur leur surface d’attaque et leur posture de conformité. Je le dis ouvertement, nous avons un intérêt commercial à ce que les MSP prennent cela au sérieux. Mais l’argument ne repose pas sur cet intérêt. Il repose sur ce qu’Ewoud a dit lors de cette table ronde, et sur ce que confirment les données : la gouvernance et la conformité sont le principal frein à l’adoption de l’IA, et le MSP qui n’a pas construit cela en interne ne peut pas le vendre de manière crédible à l’externe. ## La question qui mérite réflexion Si vos clients vous demandaient aujourd’hui d’ouvrir votre propre tableau de bord de conformité et de leur présenter votre posture de sécurité, que leur montreriez-vous ? Pas ce que vous pourriez leur montrer dans six mois avec un peu de préparation. Ce que vous pourriez leur montrer demain matin. Cette réponse constitue votre véritable proposition de valeur. ## Sources 1. Étude AvePoint et Omdia : « The MSP AI gap is about governance, not skills ». Channel Dive, avril 2026. channeldive.com 2. Omdia « MSP Trends and Predictions 2026 », cité dans le blog Acronis, février 2026. acronis.com 3. Kennedy Van der Laan : « Cyber in 2026: NIS2 on the way ». Janvier 2026. kvdl.com 4. ENISA : « NIS2 Technical Implementation Guidance » (règlement d’exécution (UE) 2024/2690). enisa.europa.eu 5. Recherche Flashpoint citée dans Channel Insider : « Managed Security Services Shift as AI Reshapes Risk ». Avril 2026. channelinsider.com 6. Reed Smith : « EU Cybersecurity Regulatory Update for 2026 and Beyond ». Avril 2026. reedsmith.com