Le 13 septembre 2026, la consultation publique de l'ENISA sur le schéma EUMSS se ferme. Cette date ne figure pas encore dans les agendas de conformité de la plupart des directions de la sécurité. Elle devrait pourtant y être. Car le schéma EUMSS — EU Managed Security Services — va redéfinir la manière dont vous sélectionnez, contractualisez et évaluez vos prestataires de sécurité opérationnelle.
Pourquoi un schéma de certification pour les MSSPs
Externaliser sa détection, sa réponse à incident ou ses audits de sécurité est devenu la norme pour les organisations de taille intermédiaire. Les prestataires de services de sécurité managée se comptent par centaines en Europe. Mais jusqu'à présent, aucun référentiel commun ne permettait de comparer leurs niveaux de garantie. Un prestataire certifié ISO 27001 et un prestataire labellisé par une organisation sectorielle locale ne parlent pas le même langage. Vos contrats comblent ce vide avec des clauses sur mesure, difficiles à auditer et encore plus difficiles à faire respecter.
C'est le problème qu'ENISA cherche à résoudre avec EUMSS. Le schéma définit un ensemble d'exigences communes pour les services couverts par l'acte modificatif du Cybersecurity Act : réponse à incident, tests de pénétration, audits de sécurité et conseil en cybersécurité. Il s'applique à toute organisation souhaitant fournir ces services dans le marché intérieur européen.
Ce que couvre le schéma EUMSS
Le périmètre du schéma ne porte pas sur les produits, mais sur les services. Quatre catégories sont explicitement incluses : la réponse à incident, les tests de pénétration, les audits de sécurité et le conseil. Un SOC managé entrera dans le champ. Un prestataire de pentest aussi. Un intégrateur qui déploie une solution de SIEM sans assurer la supervision quotidienne n'y entre pas nécessairement.
Cette distinction est importante pour vos achats. Si votre fournisseur de SOC devient certifié EUMSS, vous disposez d'une garantie normalisée sur ses processus, ses compétences et son organisation. Si ce n'est pas le cas, vous continuerez à vous appuyer sur votre propre due diligence contractuelle.
La connexion avec la Réserve de cybersécurité de l'UE ajoute un enjeu supplémentaire. Les prestataires mobilisables dans le cadre de cette réserve européenne d'intervention d'urgence devront être certifiés EUMSS dans les deux ans suivant l'entrée en vigueur du schéma. Pour les entités qui souhaitent accéder à cette réserve lors d'un incident majeur, le schéma devient une condition d'accès indirecte à un dispositif de résilience collective.
Ce que NIS2 change dans l'équation
Les entités essentielles et importantes soumises à NIS2 ont l'obligation de gérer les risques liés à leurs prestataires de services ICT. Un MSSP est un prestataire ICT au sens de NIS2. Vos obligations de contrôle du risque tiers s'étendent donc à vos fournisseurs de sécurité opérationnelle, y compris ceux à qui vous déléguez la détection ou la réponse à incident.
Aujourd'hui, cette obligation se traduit par des questionnaires, des clauses contractuelles et des audits sur pièces. Demain, la certification EUMSS pourra servir de preuve directe. Un prestataire certifié EUMSS démontrera qu'il satisfait aux exigences européennes sans que vous ayez à conduire une évaluation approfondie à chaque renouvellement de contrat. Pour les entités qui gèrent de nombreux prestataires de sécurité, c'est un gain de temps réel et une réduction du risque de contrôle.
Pour aller plus loin sur la gestion contractuelle des prestataires sous NIS2, l'article Sous-traitants et NIS2 : ce que vos contrats fournisseurs ne couvrent pas encore détaille les clauses manquantes les plus fréquentes.
Un exemple concret : un appel d'offres SOC en 2027
Une direction des systèmes d'information d'un groupe industriel renouvelle son contrat SOC en 2027. Elle insère dans son cahier des charges une clause conditionnant la titularisation définitive à l'obtention de la certification EUMSS dans les 18 mois suivant la signature. Le prestataire retenu n'est pas encore certifié au moment de la réponse à l'appel d'offres, mais son plan de certification est documenté et son processus de réponse à incident est aligné avec les exigences du schéma.
Ce type de clause n'existait pas avant EUMSS, faute de référence commune. Il deviendra standard dans les appels d'offres sécurité dès que le schéma sera adopté.
Ce qui se passe avant l'adoption
Le schéma n'est pas encore adopté. La consultation publique qui se ferme le 13 septembre 2026 est une étape dans le processus de validation. Après dépouillement des contributions, ENISA finalisera le texte du schéma et le soumettra à la Commission européenne pour adoption formelle. Ce processus prend plusieurs mois.
Cela signifie que la certification EUMSS ne sera pas opérationnelle en 2026. Elle le sera probablement en 2027 ou 2028. Mais les exigences du schéma sont d'ores et déjà lisibles dans la documentation publique d'ENISA, et les prestataires sérieux ont commencé à s'y préparer.
Pour vos équipes, la période de consultation est précisément le bon moment pour lire le schéma. Non pas pour y répondre (bien que vous puissiez soumettre des commentaires jusqu'au 13 septembre), mais pour comprendre les critères qui distingueront bientôt un MSSP certifié d'un prestataire non certifié. Ces critères peuvent dès maintenant entrer dans vos grilles d'évaluation de prestataires, même sans certification formelle disponible.
Ce que vous devez faire avant la fin de l'année
Trois actions concrètes s'imposent avant la fin 2026. Première action : cartographier vos prestataires de sécurité opérationnelle (SOC, pentest, réponse à incident, audit) et vérifier si le périmètre EUMSS les couvre. Deuxième action : intégrer dans vos prochains appels d'offres une exigence de roadmap de certification EUMSS, même si la certification elle-même ne sera pas exigible avant 2027-2028. Troisième action : aligner vos clauses contractuelles actuelles avec les exigences EUMSS sur les processus de réponse à incident, les délais de notification et les obligations de documentation.
Cette anticipation ne génère pas de coût supplémentaire immédiat. Elle vous évite de devoir renégocier vos contrats en urgence lorsque la certification deviendra une exigence réglementaire pour accéder à la Réserve de cybersécurité de l'UE ou pour satisfaire votre autorité de contrôle NIS2.
Ce qu'il faut retenir
Le schéma EUMSS n'est pas un projet lointain. Sa consultation publique se ferme dans moins de deux semaines. Les exigences qu'il fixe pour les prestataires de sécurité managée sont lisibles maintenant. Elles vont structurer le marché MSSP européen dans les deux à trois prochaines années.
Pour les acheteurs de services de sécurité, l'enjeu est simple : ne pas attendre l'adoption formelle du schéma pour intégrer ses critères dans vos décisions. Les prestataires qui s'y préparent dès maintenant vous offriront une garantie plus solide que ceux qui découvriront le schéma au moment de la certification.