Comment choisir un SOC managé en France en 2026
Le marché français du SOC managé compte plus de 40 prestataires actifs en 2026. Entre grands groupes, pure-players et MSP spécialisés, choisir le bon prestataire est une décision structurante — avec un engagement contractuel souvent pluriannuel et des implications directes sur votre conformité NIS2.
Étape 1 — Clarifier vos besoins avant tout appel d'offres
Avant de contacter un prestataire, répondez à ces 4 questions :
- Quel est votre périmètre à surveiller ? Endpoints uniquement, ou SI complet incluant réseau, cloud et applications métier ?
- Quel est votre niveau de maturité cyber ? Avez-vous déjà un EDR déployé, un RSSI interne, des processus de réponse aux incidents ?
- Quel est votre budget réaliste ? Un SOC mutualisé PME commence à 800–1 000 €/mois ; un SOC dédié ETI dépasse 8 000 €/mois.
- Quelles sont vos contraintes réglementaires ? NIS2, DORA, HDS, SecNumCloud — chaque cadre implique des exigences spécifiques sur la localisation des données et les délais de notification.
Étape 2 — Les 7 critères de sélection d'un SOC managé
| Critère | Ce qu'il faut vérifier | Importance NIS2 |
|---|---|---|
| Couverture 24/7 | Analystes humains ou automatisation seule hors heures ouvrées ? | 🔴 Critique |
| SLA de notification | Délai garanti pour alertes critiques — exiger <4h contractualisé | 🔴 Critique |
| Souveraineté des données | Hébergement France ou UE — clause contractuelle obligatoire | 🔴 Critique |
| Rapport mensuel | Format structuré utilisable lors d'un audit ANSSI | 🟠 Important |
| Intégration SI existant | Liste des connecteurs natifs (M365, Azure, firewall, EDR) | 🟠 Important |
| Références sectorielles | Clients dans votre secteur — demander 2–3 références contactables | 🟡 Recommandé |
| Clause de sortie | Restitution des données, portabilité, préavis <3 mois | 🟡 Recommandé |
Source : SOC Monitor — grille basée sur les exigences NIS2 Art. 21-23 et retours d'expérience terrain 2025-2026.
Étape 3 — Les questions à poser obligatoirement
Lors de chaque démonstration ou réunion commerciale, posez ces questions sans exception :
- Combien d'analystes sont en poste la nuit et le week-end — et où sont-ils localisés ?
- Quel SIEM utilisez-vous ? Est-il mutualisé entre plusieurs clients ?
- Mes données de logs sont-elles hébergées en France ? Puis-je avoir une clause contractuelle ?
- Quel est votre délai moyen de détection (MTTD) et de réponse (MTTR) sur vos clients actuels ?
- Êtes-vous qualifié PRIS ou PDIS par l'ANSSI ?
- Que se passe-t-il si vous détectez un incident à 3h du matin un dimanche — qui appelle qui, dans quel délai ?
- Pouvez-vous me donner 2 références clients dans mon secteur que je peux appeler ?
Étape 4 — Comprendre les modèles tarifaires
| Modèle | Structure | Avantage | Risque |
|---|---|---|---|
| Forfait mensuel fixe | Prix fixe pour un périmètre défini | Budget prévisible | Surcoût si périmètre évolue |
| Par endpoint | X €/endpoint/mois (5–25 € selon niveau) | Scalable avec la croissance | Peut devenir cher sur grand parc |
| Par volume de logs | X €/Go de logs ingérés/mois | Adapté SI hétérogène | Difficile à prévoir, risque de dépassement |
Source : SOC Monitor — analyse des modèles tarifaires marché FR 2026.
Pour une PME, le forfait mensuel fixe est généralement le modèle le plus simple à budgéter. Des prestataires comme Resilium proposent ce modèle avec des offres packagées incluant EDR, monitoring et support — ce qui simplifie la relation prestataire et la facturation.
Étape 5 — Négocier le contrat
Les 5 clauses non négociables à exiger dans tout contrat SOC :
- SLA de notification contractualisé par niveau de criticité (P1, P2, P3) avec pénalités en cas de non-respect
- Localisation des données : hébergement France ou UE explicitement mentionné
- Droit d'audit : possibilité de faire auditer le prestataire par un tiers de votre choix
- Réversibilité : restitution de l'ensemble des logs et données dans un format exploitable à la fin du contrat
- Clause de résiliation : préavis maximum 3 mois, sans pénalité après 12 mois d'engagement
Qui sont les principaux acteurs sur le marché français ?
Le marché se segmente en trois catégories :
- Grands groupes (ETI et grands comptes) : Orange Cyberdefense, Atos Evidian, Thales, Capgemini Cybersecurity — offres sur devis, forte personnalisation, délais de déploiement longs.
- Pure-players SOC/MDR (PME et ETI) : Sekoia.io, Claranet Cyber Security, Assuria — bon équilibre technicité/prix, déploiement rapide.
- MSP avec offre SOC intégrée (PME <250 sal.) : prestataires comme Resilium qui distribuent des solutions EDR/XDR managées (SentinelOne, Guardz) avec une couverture SOC adaptée aux budgets PME en France, Belgique et Luxembourg.
Vos questions sur le choix d'un SOC managé
Comment choisir un SOC managé en France quand on est une PME ?
La décision repose sur 4 variables : votre budget mensuel, votre stack technique actuel (Microsoft 365 ? Azure ? Linux ?), vos obligations réglementaires (NIS2 entité importante ou essentielle, DORA, HDS) et vos objectifs de réponse aux incidents (alerting seul ou containment actif).
En pratique : si votre budget est inférieur à 2 000 €/mois, orientez-vous vers un MSP proposant une surveillance intégrée. Au-dessus de 3 000 €/mois, les SOC-as-a-Service spécialisés (Sekoia.io, Claranet, Orange Cyberdefense) offrent des SLA et des équipes d'analystes dédiés plus robustes.
Quelles questions poser à un prestataire SOC avant de signer ?
Posez ces 7 questions systématiquement : (1) La surveillance 24/7 est-elle assurée par des analystes humains ou par automatisation seule hors heures ouvrées ? (2) Quel est le SLA de notification pour une alerte critique ? (3) Où sont hébergés mes logs et données de sécurité ? (4) Proposez-vous un rapport mensuel utilisable en audit ANSSI ? (5) Quels connecteurs natifs pour Microsoft 365, Azure, mes firewalls ? (6) Quelle est la durée minimale d'engagement ? (7) Puis-je tester via un POC avant signature ?
Un MSP peut-il remplacer un SOC externalisé pour NIS2 ?
Dans la majorité des cas pour les PME entre 50 et 100 salariés : oui. Un MSP spécialisé en cybersécurité qui propose une surveillance des endpoints (EDR), de la messagerie et des accès cloud, avec alerting 24/7 et rapport mensuel, couvre les exigences de l'article 21 de NIS2. La différence avec un SOC "pur" tient surtout à la profondeur de l'analyse (corrélation d'événements, threat intelligence) — moins critique pour les PME sans données hautement sensibles.
Quelle est la durée minimale d'engagement pour un SOC externalisé ?
Les contrats SOC externalisé varient de 6 à 24 mois selon les prestataires. Les MSP packagés proposent parfois des engagements de 3 mois avec reconduction tacite. Les grands prestataires (Orange Cyberdefense, Sophos MDR via revendeur) demandent généralement 12 mois minimum après la phase d'onboarding. Négociez toujours une clause de sortie pour faute de service (SLA non respecté) avant signature.
Le SOC externalisé doit-il être certifié PASSI ou PRIS pour NIS2 ?
NIS2 n'impose pas de certification PASSI (audit) ou PRIS (réponse à incident) pour le prestataire SOC. Ces qualifications ANSSI sont recommandées mais pas obligatoires — sauf si votre secteur ou votre autorité de tutelle l'exige explicitement. En revanche, la capacité à produire des rapports d'incidents structurés pour l'ANSSI et à respecter le délai de notification de 24h reste non négociable.