CONFORMITÉ · NIS2
MDR NIS2 : SOC managés pour entités essentielles et importantes
La directive (UE) 2022/2555 (NIS2) a remplacé la directive NIS1 le 18 octobre 2024. En France, sa transposition est intervenue avec la loi 2024-364 du 4 octobre 2024 dite « loi de résilience », complétée par un décret d'application précisant le périmètre des entités essentielles (EE) et entités importantes (EI). Concrètement, le texte étend la régulation cyber de quelques centaines d'opérateurs (l'ancien régime OSE / OIV) à environ 15 000 entités françaises réparties dans 18 secteurs — énergie, transports, finance, santé, eau potable, infrastructures numériques, fournisseurs de services TIC, administrations publiques, etc.
L'enjeu opérationnel pour un MDR n'est plus un argument marketing : NIS2 impose des mesures techniques et organisationnelles minimales (article 21), une notification d'incident en cascade (24h alerte initiale, 72h rapport intermédiaire, 1 mois rapport final — article 23), et des responsabilités personnelles pour les dirigeants (article 20). Les sanctions atteignent 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes. L'ANSSI est l'autorité de référence côté français, avec un guichet unique de notification MonEspaceNIS2.
En pratique, beaucoup de RSSI sous NIS2 cherchent un MDR capable de tenir trois engagements précis : (1) un SOC 24/7 réellement opéré (continuité de la détection — article 21.2.c), (2) un workflow de notification ANSSI documenté et chronométré, (3) une capacité d'audit indépendant des mesures techniques. Reste que NIS2 n'exige pas de qualification ANSSI obligatoire pour le prestataire de détection — sauf si l'entité est aussi OIV / OSE-PDIS au titre de la LPM. C'est la nuance la plus mal comprise du marché : un MDR non qualifié PDIS peut couvrir un dossier NIS2, mais doit alors prouver l'équivalence des mesures.
Cette page liste les fournisseurs de SOC managé / MDR opérant en France qui démontrent, sur preuves vérifiables (registre ANSSI, références publiques, SLA contractualisés), une compatibilité opérationnelle avec NIS2. Nous classons sur le comportement, pas sur l'auto-déclaration : les acteurs qui revendiquent une « conformité NIS2 » sans pouvoir justifier d'un SOC 24/7 FR ni d'un workflow de notification ne figurent pas dans la sélection.
01 — PÉRIMÈTRE
Qui est concerné ?
Sont concernés en France toutes les entités relevant des 18 secteurs annexes I et II de la directive (énergie, transport, banque, infrastructures numériques, santé, eau, administration publique, espace, services postaux, gestion des déchets, chimie, alimentation, fabrication, fournisseurs numériques, recherche…) au-dessus des seuils de taille (50 salariés ou 10 M€ de CA). Les entités essentielles regroupent les grandes structures des secteurs hautement critiques ; les entités importantes couvrent le reste. Les administrations centrales et de nombreuses collectivités sont incluses.
02 — TEXTE LÉGAL
Articles & exigences clés
Mesures techniques, opérationnelles et organisationnelles minimales
Politique d'analyse de risque, gestion des incidents (b), continuité d'activité (c), sécurité de la chaîne d'approvisionnement (d), sécurité du développement (e), évaluation de l'efficacité (f), hygiène cyber et formation (g), cryptographie (h). Le SOC managé adresse explicitement (b) et (c).
Notification d'incident en cascade ANSSI
Alerte initiale sous 24h après prise de connaissance d'un incident significatif. Notification intermédiaire ou de mise à jour sous 72h avec évaluation initiale. Rapport final sous 1 mois. Le MDR doit produire les éléments factuels nécessaires (horodatages, IoCs, périmètre touché).
Responsabilité des organes de direction
Les dirigeants approuvent les mesures cyber et suivent une formation. Une défaillance peut engager leur responsabilité personnelle. Le contrat MDR doit produire un reporting exploitable au niveau COMEX (KPI mensuels, posture, exposition résiduelle).
Sécurité de la chaîne d'approvisionnement TIC
L'entité reste responsable de la sécurité de ses fournisseurs critiques, y compris du MDR lui-même. Audit annuel du prestataire, plan de réversibilité et exigences contractuelles spécifiques (sous-traitance, géographie des analystes, accès aux données) deviennent obligatoires.
Pouvoirs de l'ANSSI
Audits inopinés, mises en demeure, sanctions administratives. Le prestataire de détection peut être amené à produire des journaux, des procédures et la preuve de la couverture 24/7 — il doit accepter d'être audité conjointement.
03 — IMPLICATIONS MDR
Critères MDR qui découlent du référentiel
- 01SOC 24/7 réellement opéré, avec preuve de la couverture (sites, effectifs, rotation mondiale documenté) — découle de l'article 21.2.c (continuité)
- 02Workflow de notification ANSSI sous 24h documenté, testé et chronométré ; intégration au guichet MonEspaceNIS2 ou à un canal CSIRT-FR équivalent
- 03Capacité d'audit du prestataire par l'entité régulée — clause contractuelle d'audit annuel, accès aux journaux d'analyse, droit d'inspection
- 04Tests d'intrusion réguliers du périmètre supervisé (article 21.2.h) — soit fournis par le MDR, soit coordonnés via un PASSI
- 05Reporting COMEX exploitable (article 20) — KPI mensuels lisibles par des dirigeants non-techniques, posture chiffrée, exposition résiduelle
- 06Chaîne d'approvisionnement transparente (article 21.3) — géographie des analystes documentée, sous-traitance déclarée, plan de réversibilité contractuel
- 07Authorité de réponse claire — qui isole quoi, dans quel délai, avec quel mandat ; pas d'ambiguïté entre « alerter », « guider » et « contenir »
- 08Capacité d'opérer en environnement BYO (le client garde sa stack) OU plateforme imposée souveraine — éviter le verrouillage technique sur un éditeur tiers exposé à des juridictions extra-UE
04 — SÉLECTION (12)
Fournisseurs éligibles
Excellent· 6
Advens
Souverain FRTriple qualification ANSSI (PASSI + PDIS + PRIS) confirmée, SOC opéré en France 24/7, capacité d'action active (isolation, kill process, quarantaine) via SOAR. Cumul rare qui couvre directement l'article 21.2.b (détection-réponse) et l'article 23 (notification ANSSI maîtrisée).
Force spécifique → Plateforme mySOC orchestre stacks souveraines (HarfangLab, Gatewatcher) et non-souveraines selon le choix client — BYO préservé.
Orange Cyberdefense
Souverain FRQuatre qualifications ANSSI (PASSI + PDIS + PRIS + PACS) — l'un des très rares acteurs avec ce cumul. Option FR-strict contractualisable pour clients OIV/EE. SOC multi-sites France (Nanterre, Rennes, Toulouse, Lyon, Lille, Bordeaux) en rotation mondiale panEU pour les clients non FR-strict.
Force spécifique → World Watch CERT mondial + intégration récente Qevlar AI (oct 2025) pour auto-triage — utile pour absorber le volume d'alertes d'une grande EE.
Thales
Souverain FRQuadruple qualification ANSSI (PASSI Élevé + PDIS Élevé + PRIS Élevé + SecNumCloud via S3NS). Plateforme propriétaire Cybels (SIEM + sonde NDR qualifiée ANSSI) = stack de détection souveraine rare. Profil grand compte / défense / OIV assumé, donc rompu aux exigences d'audit et de chaîne d'approvisionnement art. 21.3.
Force spécifique → Partenariat stratégique Sekoia.io (oct 2025) et HarfangLab Elite Partner — capable d'opérer une stack 100 % souveraine si l'EE le demande.
Sopra Steria
Souverain FRTriplet ANSSI PASSI + PDIS + PRIS confirmé sur l'entité Sopra Steria Infrastructures and Security Services (Annecy). Suite propriétaire MACTAN « 100 % française » disponible en alternative à RightSecurity sur Microsoft Sentinel — donne au client EE le choix entre stack souveraine et stack Microsoft.
Force spécifique → CERT mobilisable >100 ETP + intégration Qevlar AI (sept 2025) pour auto-triage.
Intrinsec
Souverain FRTriplet PASSI-LPM + PRIS Élevé + PACS — la PRIS Élevé v3 couvre l'ensemble des activités INV/PCI/CODE. Différenciateur fort : SLA chiffrés PUBLIÉS (alertes <5 min, prise en charge <15 min, IR <2h, CERT <1h) — preuve contractuelle directement utilisable dans un dossier de conformité art. 21.2.b.
Force spécifique → Adossement Neurones (coté Euronext) + filiation Cloud Temple (SecNumCloud) — chaîne d'approvisionnement souveraine documentée.
Airbus Protect
Souverain FRPASSI + PDIS ANSSI à Élancourt (PDIS depuis 2019) + 5 SOC interconnectés FR/DE/ES/UK — adapté aux EE multi-pays UE. Spécialité OT/ICS rare, critique pour les entités essentielles des secteurs énergie, eau, transport et fabrication.
Force spécifique → Stack propriétaire (Prophecy SOAR, Orion Malware, Keelback Net sonde NDR APT) + Tactical SOC déployable — capable de servir des EE défense ou critiques sans dépendance plateforme tierce.
Bon· 6
Formind
Souverain FRPure-player FR indépendant, PASSI (5 portées) + PASSI LPM (2026) confirmés, PRIS en cours de qualification. SOC & CERT 24/7 opérés en France, modèle BYO/co-managé qui préserve la stack client. Opérateur principal du Pack Cyber Docaposte — preuve d'industrialisation sur un programme souverain visible.
Force spécifique → Capacité à intégrer la stack EDR/SIEM existante (Sentinel, Splunk, HarfangLab, CrowdStrike, SentinelOne) — utile quand l'EE refuse un re-platforming.
Sysdream
Souverain FRPASSI LPM (5 portées) + PDIS via maison-mère Hub One (en cours de renouvellement), CSIRT CERT Aviation France reconnu, SOC 24/7 FR avec engagement explicite de non-transit des logs vers cloud tiers. Adossement Groupe ADP (capital public) — chaîne d'approvisionnement crédible pour une EE secteur transport/aviation.
Force spécifique → Posture co-construite assumée (refus du clé-en-main) — pertinent pour les EE qui veulent conserver l'autorité de décision sous NIS2.
Almond
Souverain FRPASSI RGS renouvelée 2024 + triplet PASSI-LPM/PACS/PRIS hérité d'Amossys (intégration achevée 2026). SOC CWATCH 24/7 rotation mondiale FR/Suisse, 120+ experts. Pas de PDIS — donc pas un candidat pour les EE qui sont aussi OIV-PDIS, mais conforme NIS2 pour la majorité des EE non-LPM.
Force spécifique → Resilience Operation Center unifié (SOC/CTI/VOC/CERT/ITO) — chaîne IR documentée bout-en-bout.
Devensys Cybersecurity
Souverain FRSOC 100 % employés FR sur 5 sites (Montpellier, Lyon, Suresnes, Martinique, Nouméa) avec rotation mondiale naturel. SLA GTI <30 min publié avec pénalités contractuelles — preuve directement utilisable côté art. 21.2.b. CANUT Lot 1 attribué déc 2025 (marché public 80-100 M€) = validation par acheteur public majeur.
Force spécifique → Maison-mère Adista (Inherent) = 16 DC France + HDS v2 + ISO 27001 + équipes habilitées Secret Défense — chaîne d'approvisionnement souveraine vérifiable.
Serma Safety & Security
Souverain FRPASSI niveau Élevé (sécurité nationale) + premier acteur qualifié PRIS Substantiel selon le nouveau référentiel ANSSI. SOC & CSIRT 24/7 avec couverture IT, OT et IoT — adapté aux EE industrielles. Stack hybride SOAR + EDR + XDR + SIEM avec déploiement on-premise possible.
Force spécifique → Couverture OT/IoT native héritée du groupe SERMA — atout pour les EE des secteurs énergie, eau, fabrication.
NEVERHACK
Souverain FRPASSI actif (portée partielle : audit architecture + pentest). SOC FR (Cesson-Sévigné) + plateforme PROMETHEUS propriétaire. Filiale Estonie publie SLA chiffrés (acquittement 15 min, notification 30 min, containment 4h) — utile pour la preuve art. 21.2.b même si non garanti côté entité France à ce stade.
Force spécifique → Plateforme multi-SOC FR/IT/ES/EE/CA — couverture pratique pour une EE européenne multi-pays.
05 — EXCLUSIONS
Non recommandés pour ce référentiel
Sont exclus de cette sélection NIS2 : (1) les fournisseurs sans SOC 24/7 démontrable ou dont la couverture nuit-week-end repose sur une astreinte non documentée — c'est notamment le cas de Dataxium (10-15 personnes, structure trop légère pour un vrai 24/7) et d'Algosecure (cabinet d'audit avec supervision SOC peu détaillée techniquement) ; (2) les acteurs revendiquant la conformité NIS2 sans présence ANSSI ni preuve opérationnelle — Magellan Sécurité (stack de détection opaque, aucun partenariat techno nommé), AntemetA et Alekso (couverture 24/7 non documentée) ; (3) Eviden, malgré une PDIS active, est classé en tier non-souverain dans nos taxonomies (capital sous contrôle créanciers internationaux, plateforme AIsaac adossée AWS, CERT à Bydgoszcz Pologne) — pertinent pour une EE qui privilégie la maturité opérationnelle, mais pas pour une EE qui veut maximiser la chaîne d'approvisionnement UE. Les éditeurs MDR non-souverains (CrowdStrike, SentinelOne, Sophos, Microsoft Defender Experts, Palo Alto Unit 42, Arctic Wolf, Bitdefender) peuvent couvrir une EE NIS2 si l'analyse de risque art. 21.3 valide le risque CLOUD Act / FISA — mais ne figurent pas dans la sélection « MDR opérant en France » du présent comparatif.
06 — RFP
Questions à poser au fournisseur
- ☐Disposez-vous d'une qualification ANSSI (PASSI, PDIS, PRIS) ? Numéro de décision, date d'échéance, périmètre exact ?
- ☐Votre SOC est-il opéré exclusivement en France, ou en rotation mondiale ? Listez les sites et les nationalités d'analystes susceptibles de traiter notre dossier
- ☐Quel est votre workflow de notification ANSSI sous 24h ? Documenté ? Avez-vous déjà notifié pour un client ?
- ☐Quels SLA contractuels (pas métriques observées) garantissez-vous pour le MTTA et la prise en charge d'un incident critique ? Pénalités ?
- ☐Acceptez-vous une clause d'audit annuel par notre équipe (ou un tiers mandaté) sur votre SOC, vos procédures et vos journaux ?
- ☐Pouvez-vous opérer en BYO sur notre stack actuelle, ou imposez-vous une plateforme ? Quel est le plan de réversibilité (durée, format d'export, rétention) ?
- ☐Quel reporting produisez-vous au niveau COMEX (article 20) ? Fréquence, indicateurs, exemple de livrable ?
- ☐Avez-vous une politique formelle de sous-traitance ? Qui peut accéder à nos données, depuis quel pays ?
07 — À RETENIR
Conclusion
Le marché français du MDR-NIS2 se segmente clairement en trois tiers : les acteurs ANSSI-complets (Advens, Orange Cyberdefense, Sopra Steria, Thales, Intrinsec, Airbus Protect, Sysdream via Hub One), capables de couvrir aussi un dossier OIV-LPM ; les MDR souverains FR sans PDIS (Almond, Formind, Devensys, Serma, NEVERHACK, OWN.security, Hexanet), suffisants pour la majorité des EE non-OIV ; et les MDR non-souverains internationaux qui peuvent répondre à NIS2 si l'analyse de risque art. 21.3 le valide, mais introduisent une exposition CLOUD Act/FISA. Notre recommandation pratique : si vous êtes EE et OIV/OSE-LPM, partez d'un acteur PDIS. Si vous êtes EE non-LPM, évaluez un pure-player FR ou un MDR souverain régional — le coût d'exigence ANSSI cumulé n'est justifié que si votre régulateur sectoriel ou votre commissaire aux comptes vous le réclame. Dans tous les cas, exigez les preuves : registre ANSSI cyber.gouv.fr, SLA contractualisés, plan de notification testé.
MDR conforme NIS2 : trouver le bon fournisseur
On vous met en relation avec 3 fournisseurs vraiment éligibles NIS2 (pas juste « compatible » sur le papier). Réponse sous 24h ouvrées, indépendant, gratuit.