NIS2 impose-t-elle un SOC ? Ce que dit réellement la directive.
NIS2 ne mentionne pas explicitement le terme "SOC" — mais ses exigences en matière de surveillance, détection et notification d'incidents rendent une capacité équivalente quasi-obligatoire pour les entités concernées.
Ce que NIS2 impose réellement
L'article 21 de la directive NIS2 (Dir. UE 2022/2555) liste les mesures de gestion des risques que les entités essentielles et importantes doivent mettre en œuvre. Parmi elles :
- Surveillance continue des systèmes d'information
- Détection des incidents de sécurité
- Capacité de réponse et de continuité d'activité
- Sécurité des réseaux et systèmes d'information
SOC obligatoire ou pas ?
NIS2 n'impose pas un "SOC" au sens organisationnel du terme. Mais elle impose des capacités qui, pour la plupart des PME sans équipe cyber interne, nécessitent de fait un SOC externalisé ou un service MDR :
| Exigence NIS2 (Art. 21) | Capacité requise | Solution pratique |
|---|---|---|
| Surveillance continue | Monitoring 24/7 du SI | SOC externalisé ou MDR |
| Détection des incidents | SIEM ou EDR avec alerting | SOC-as-a-Service ou MDR |
| Réponse aux incidents | Procédure + équipe réactive | MDR ou CSIRT externalisé |
| Notification 24h | Détection en temps réel | SOC 24/7 ou MDR |
| Tests de résilience | Exercices annuels | Pentest + tabletop exercises |
Source : Directive UE 2022/2555 (NIS2), Art. 21 et 23 — interprétation SOC Monitor.
Ce que recommande l'ANSSI
L'ANSSI a publié plusieurs guides d'application de NIS2 précisant que la mise en conformité implique une capacité de détection et de réponse aux incidents. Pour les entités importantes, l'ANSSI recommande de s'appuyer sur des prestataires qualifiés — notamment les PRIS (Prestataires de Réponse aux Incidents de Sécurité) et les prestataires PDIS (détection d'incidents de sécurité).
Conclusion pratique
Si votre PME est soumise à NIS2 et ne dispose pas d'une équipe de sécurité interne capable d'assurer une surveillance 24/7, un SOC externalisé ou un service MDR n'est pas optionnel — c'est la seule voie réaliste pour satisfaire les exigences de l'article 21 et les délais de notification de l'article 23.
Questions fréquentes : NIS2 et obligation SOC
NIS2 impose-t-elle un SOC à toutes les entreprises concernées ?
Non — NIS2 n'impose pas de SOC en tant que tel. L'article 21 exige des mesures de surveillance des systèmes d'information et une capacité de détection des incidents, sans prescrire la forme technique. Un SOC externalisé est la solution la plus courante pour satisfaire cette exigence, mais une PME peut aussi démontrer sa conformité via un EDR correctement supervisé, un SIEM mutualisé ou un contrat MDR — à condition que la détection et la notification d'incidents soient contractuellement garanties.
Quel délai de notification d'incident impose NIS2 ?
NIS2 impose une notification en 3 étapes : alerte initiale à l'autorité nationale (ANSSI en France, CCN en Belgique) dans les 24h suivant la détection de l'incident ; rapport intermédiaire dans les 72h avec évaluation initiale ; rapport final dans le mois suivant l'incident avec analyse complète, impact et mesures correctrices.
Ce délai de 24h pour l'alerte initiale est le plus contraignant en pratique — il suppose une détection quasi temps réel et une procédure de qualification d'incident déjà formalisée.
Les sous-traitants de sociétés soumises à NIS2 doivent-ils aussi avoir un SOC ?
Pas obligatoirement un SOC, mais NIS2 introduit des exigences de sécurité de la chaîne d'approvisionnement (article 21.2.d) : les entités soumises à NIS2 doivent évaluer et contrôler la posture de sécurité de leurs fournisseurs critiques. En pratique, les grands donneurs d'ordre vont exiger de leurs sous-traitants une capacité de détection et de réponse aux incidents — ce qui pousse indirectement les PME sous-traitantes vers un MDR ou un SOC, même sans obligation formelle directe.
Que risque concrètement une PME sans SOC en cas de contrôle ANSSI NIS2 ?
L'ANSSI peut infliger jusqu'à 7 000 000 € ou 1,4% du CA mondial annuel pour une entité importante en cas de manquement grave aux obligations de l'article 21. Mais avant la sanction financière, le risque opérationnel est plus immédiat : en cas de cyberattaque sans surveillance active, le délai de détection moyen sans SOC est de 197 jours (rapport IBM Cost of a Data Breach 2024). NIS2 impose de notifier dans les 24h — impossible sans une surveillance qui détecte l'incident en temps réel.
Une PME peut-elle mutualiser un SOC avec d'autres entreprises pour réduire les coûts ?
Oui — c'est précisément le modèle SOC-as-a-Service ou SOC externalisé mutualisé. Le prestataire répartit les coûts fixes (équipe d'analystes, SIEM, infrastructure) entre ses clients, ce qui permet à une PME d'accéder à une surveillance 24/7 pour 800 à 3 000 €/mois au lieu des 500 000 à 1,5 million nécessaires pour un SOC interne dédié. Des offres sectorielles (SOC santé, SOC industrie) permettent également une mutualisation encore plus poussée sur des périmètres métier similaires.