Vos clients attendent le vote de NIS2 pour agir. C’est précisément là que les MSP peuvent prendre de l’avance : si la loi française reste bloquée, le référentiel ReCyF de l’ANSSI donne déjà une base concrète pour construire une offre de conformité récurrente. Le contexte s’y prête. Le projet de loi est absent des textes inscrits à la session parlementaire extraordinaire de juillet (Next, 16 juin 2026), et le CESIN alerte : l’incertitude réglementaire gèle des décisions d’investissement cyber. Cet article montre comment transformer ce flou en offre managée, livrables compris.
1/ Juillet 2026 : la loi attend, le référentiel avance
Le calendrier politique reste incertain. Adopté au Sénat début 2025 puis en commission spéciale de l’Assemblée en septembre 2025, le texte de transposition reste bloqué par des désaccords politiques, notamment autour de l’article 16 bis sur le chiffrement (source : Next). Le décret convoquant la session extraordinaire du 1er juillet ne mentionne ni NIS2 ni la cybersécurité : à date, aucun examen n’est annoncé avant l’automne au mieux, pendant que la Commission européenne a engagé une procédure d’infraction contre la France.
Le cadre technique, lui, progresse. Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF) : 20 objectifs de sécurité, dont les 15 premiers concernent aussi bien les entités importantes que les entités essentielles, avec un principe de proportionnalité selon la maturité de chaque organisation. Il reste un document de travail jusqu’à la transposition, mais son socle d’exigences est suffisamment clair pour commencer à structurer une offre. Le message du directeur général de l’ANSSI est d’ailleurs explicite : il ne faut pas attendre pour le mettre en œuvre.
2/ Le vrai risque pour le MSP : des budgets gelés jusqu’au vote
Pour le CESIN, l’incertitude réglementaire perturbe les achats cyber et ralentit les décisions d’investissement. Sur le terrain MSP, cela se traduit concrètement :
- des projets de mise en conformité repoussés « après le vote », donc des cycles de vente qui s’allongent ;
- des clients qui confondent absence de loi française et absence d’obligation, alors que la directive européenne est en vigueur depuis octobre 2024 ;
- un embouteillage prévisible : au vote, tous les prestataires proposeront la même offre au même moment, au prix du marché.
L’idée reçue à démonter chez vos clients : pas de loi votée, donc pause légitime. En réalité, le référentiel ReCyF qui servira de base aux contrôles est déjà consultable. Attendre le vote pour se préparer, c’est commencer les révisions une fois l’examen distribué. Entre aujourd’hui et un examen parlementaire au mieux à l’automne, puis les délais d’application, le MSP qui structure son offre maintenant dispose de plusieurs mois pour signer avant l’afflux, à sa propre grille tarifaire.
3/ Trois façons de répondre, une seule crée de la récurrence
Attendre le vote. Aucun investissement immédiat, mais aucune différenciation : vous arriverez sur le marché en même temps que tout le monde, face à des clients sollicités de toutes parts.
Vendre un audit de conformité ponctuel. Facturable dès maintenant et utile pour engager la discussion. Limite : c’est une photographie à l’instant T, à refaire quand la version finale du ReCyF sera publiée. Pas de revenu récurrent, pas de client verrouillé.
Construire un socle ReCyF managé. Les 15 premiers objectifs du référentiel ReCyF deviennent votre cahier des charges : configuration sécurisée, surveillance continue, traçabilité, preuve de conformité livrée chaque mois. C’est un abonnement, donc du MRR, et un client qui n’aura aucune raison de changer de prestataire au moment du vote. Trois briques du catalogue Watsoft couvrent l’essentiel de ce socle.
4/ Netwrix 1Secure : produire la preuve, pas seulement la promesse
Pour vendre un socle ReCyF, le MSP doit produire de la preuve : qui a changé quoi, quand, sur quel environnement, et avec quel niveau de risque. Netwrix 1Secure transforme cette surveillance d’Active Directory, de Microsoft 365 et des serveurs Windows en reporting mensuel exploitable par le client. C’est la brique d’audit Active Directory MSP qui matérialise votre service, mois après mois.
- Détection des comportements anormaux : escalade de privilèges, exfiltration, modifications sensibles ;
- Rapports de conformité NIS2 prêts à présenter au client ou à un auditeur ;
- SaaS multi-tenant, exploitable sans infrastructure dédiée.
1Secure constate et alerte ; la correction des configurations relève de la brique suivante.
5/ Octiga : maintenir la configuration sécurisée sur tous vos tenants
Les objectifs du ReCyF de sécurisation des accès et des configurations se déploient mal à la main : tenant par tenant, la marge du socle disparaît en heures technicien. Octiga applique vos baselines de sécurité Microsoft 365 MSP (MFA, accès conditionnel, politiques d’audit) sur l’ensemble des tenants clients en une opération, puis détecte et corrige toute dérive.
- MFA Microsoft 365 multi-tenant déployé et maintenu en un clic ;
- Baselines réappliquées automatiquement en cas de dérive de configuration ;
- Temps technicien réduit sur les revues de sécurité : c’est là que se construit la marge du socle.
Son périmètre est Microsoft 365 : pour les environnements hybrides, elle se combine avec la surveillance de Netwrix 1Secure.
6/ MailStore : la traçabilité que les offres « tout EDR » oublient
Conservation, continuité et capacité à retrouver l’information : ce volet est le grand absent des offres de conformité centrées sur l’endpoint, et c’est ce qui différenciera la vôtre. MailStore assure l’archivage email légal, automatisé et dédupliqué des messageries de vos clients (Exchange, Microsoft 365, IMAP), avec recherche et restauration unitaire.
- Archivage à valeur probante : la trace exigée en cas d’incident ou de contentieux ;
- Conformité RGPD messagerie et e-discovery rapide, sans mobiliser un technicien ;
- Licence SPE dédiée aux prestataires : l’archivage devient une ligne d’abonnement.
MailStore couvre le volet conservation, pas la détection ni la configuration : les trois briques se complètent.
7/ Plan d’action : votre socle ReCyF MSP en 4 étapes
- Cartographiez votre parc client. Identifiez ceux qui relèvent des 18 secteurs NIS2, et ceux qui fournissent ces entités : la directive couvre aussi la chaîne d’approvisionnement.
- Passez votre propre structure au crible. Les fournisseurs de services managés peuvent eux-mêmes entrer dans le périmètre NIS2, directement ou via leurs clients concernés : votre propre conformité est un argument commercial.
- Packagez l’offre avec des livrables datés. Audit initial adossé aux 15 premiers objectifs du ReCyF, rapport mensuel de conformité (écarts constatés, dérives corrigées, incidents détectés), revue trimestrielle avec le client. La promesse : un état de conformité documenté chaque mois, présentable le jour du contrôle.
- Vendez la fenêtre. Proposez maintenant, en positionnant la version finale du ReCyF comme simple jalon de révision du contrat, déjà prévu dans votre offre.
Conclusion : le flou juridique est une fenêtre, pas une pause
À date, rien n’indique un examen de NIS2 avant l’automne, et c’est cette fenêtre qui crée l’opportunité. Le socle d’exigences du ReCyF est suffisamment clair, la demande existe, et vos concurrents attendent. Un socle managé construit sur l’audit, la configuration et la traçabilité vous positionne en partenaire conformité avant que le marché ne se referme sur les prix.
Pour toute question, contactez notre équipe Watsoft au 05 56 15 01 01, par e-mail à ventes@watsoft.com ou msp@watsoft.com.
FAQ
Le ReCyF est-il obligatoire pour mes clients ?
Pas encore : il restera un document de travail jusqu’à la transposition de NIS2 en droit français. Mais l’ANSSI recommande explicitement de le mettre en œuvre sans attendre, et il constituera la base des futures exigences. S’y aligner maintenant, c’est prendre de l’avance sans risque de contresens.
Mon client veut attendre le vote de la loi. Comment argumenter ?
Rappelez-lui que la directive européenne est en vigueur depuis octobre 2024 et que le référentiel français est déjà consultable. Le vote fixera le calendrier des sanctions, pas la nature des mesures. Commencer maintenant lisse l’effort et le budget au lieu de tout subir en urgence.
Un MSP est-il lui-même concerné par NIS2 ?
Les fournisseurs de services managés peuvent eux-mêmes entrer dans le périmètre NIS2, directement ou via leurs clients concernés, selon leur taille, leur activité et leur rôle dans la chaîne d’approvisionnement. Anticiper votre propre conformité est donc à la fois une précaution et un argument de vente.
Que deviendra mon offre socle ReCyF après le vote ?
Elle se met à jour, elle ne se jette pas. Les grandes lignes du référentiel sont posées ; la version finale précisera surtout les modalités. Prévoyez contractuellement un jalon de révision à la publication finale : c’est une opportunité d’upsell, pas un risque.
