Dans la grande majorité des PME romandes, la cybersécurité n’est pas assurée par un collaborateur interne mais par un prestataire. Ce choix est raisonnable. Il déplace simplement la question difficile : comment juger la qualité d’un service dont on n’a, par construction, pas les compétences pour évaluer le contenu ? L’Union européenne s’attaque à ce problème, et la consultation qu’elle vient d’ouvrir mérite un coup d’oeil même depuis la Suisse.

Ce que l’ENISA met en consultation

Le 24 juillet 2026, l’agence de l’Union européenne pour la cybersécurité a ouvert une consultation publique sur un projet de schéma européen de certification des services de sécurité gérés, désigné par l’acronyme EUMSS. Les contributions sont recevables jusqu’au 13 septembre 2026.

Le travail découle d’une demande adressée par la Commission européenne à l’agence fin avril 2025, sur la base de l’article 48 du règlement européen sur la cybersécurité, tel que modifié par un amendement entré en vigueur en février 2025. L’objectif affiché est de réduire la diversité et la fragmentation des approches et des exigences applicables à la fourniture de services de sécurité gérés dans les États membres.

Pourquoi maintenant

L’ENISA part d’un constat qu’une PME suisse reconnaîtra sans peine : l’investissement en cybersécurité se porte de plus en plus sur la technologie et sur l’externalisation, plutôt que sur des équipes internes. Le marché des prestataires a grossi vite, avec des niveaux de service très inégaux et aucun référentiel commun permettant de les comparer.

Le schéma couvre ce que l’amendement au règlement appelle les services de sécurité gérés : la réponse aux incidents, les tests d’intrusion, les audits de sécurité et le conseil. La première version se concentre sur le cycle de gestion des incidents, et plus précisément sur le profil de service de réponse aux incidents.

Les cinq domaines qui font une grille de questions

C’est la partie la plus directement exploitable. Le schéma s’organise en deux couches. Une couche horizontale fixe des exigences de base applicables à tous les services certifiés, réparties en cinq domaines : la conception sécurisée du service et de sa plateforme, la gestion du déploiement et de la transition, la disponibilité et la continuité, la gestion opérationnelle du service, enfin l’amélioration continue et la maintenance technologique. Une couche verticale ajoute les exigences propres à chaque type de service.

Ces cinq domaines se traduisent en questions que vous pouvez poser dès aujourd’hui à votre prestataire, sans attendre un quelconque label. Que se passe-t-il si votre contrat prend fin : comment se déroule la transition vers un autre fournisseur, et qui garde vos journaux ? Quelle est la disponibilité réellement contractée, et que couvre-t-elle la nuit et le week-end ? Comment le prestataire sécurise-t-il sa propre plateforme, qui a par définition un accès profond à votre système d’information ? Cette dernière question n’est pas théorique : c’est le principe même des attaques par la chaîne d’approvisionnement.

Trois niveaux d’assurance

Le schéma prévoit trois niveaux : basique, substantiel et élevé. Cette gradation est une bonne nouvelle pour les petites structures. Elle signifie qu’une certification ne sera pas réservée aux grands acteurs capables d’absorber un audit lourd, et qu’un donneur d’ordre pourra exiger un niveau proportionné à l’enjeu réel plutôt que le maximum par principe.

Un signal indique que ce label a vocation à peser : selon l’ENISA, les fournisseurs intervenant dans le cadre de la réserve de cybersécurité de l’Union devront être certifiés conformément au schéma dans les deux ans suivant sa mise en place.

Ce que ça implique pour une PME suisse

Rien d’obligatoire, et rien d’immédiat : le schéma est encore à l’état de projet, et une certification européenne ne s’impose pas en Suisse. L’effet passera plutôt par le marché. Les prestataires actifs sur des marchés européens chercheront le label, leurs concurrents devront s’expliquer, et vos propres clients européens finiront par poser la question dans leurs questionnaires de sécurité.

Il reste un point de vigilance. Un prestataire certifié reste un prestataire : la certification portera sur la façon dont il délivre son service, pas sur l’adéquation de ce service à vos risques. Le périmètre confié, ce qu’il surveille et ce qu’il ne surveille pas, restent votre décision et votre responsabilité.

En conclusion

L’intérêt de ce document, pour un dirigeant de PME, n’est pas le calendrier européen. C’est qu’il met noir sur blanc ce qu’un service de sécurité géré devrait comporter, dans un vocabulaire qu’aucun contrat commercial ne vous donnera spontanément. Reprendre ces cinq domaines lors de votre prochain entretien annuel avec votre prestataire coûte une heure et révèle souvent deux ou trois angles morts. Reste à savoir lesquels comptent vraiment dans votre cas, ce qui dépend de ce que vous lui avez confié et de ce que vous avez gardé.