Comment les MSP peuvent proposer des scans NIS2 à leurs clients PME (sans construire de scanner)

Le dirigeant d’un MSP en DACH nous a confié en avril : « Trois de nos dix plus gros clients nous ont interrogés sur NIS2 ce trimestre. Nous n’avons pas de produit à leur vendre. On ne peut pas continuer à les renvoyer ailleurs — ils trouveront quelqu’un qui gère tout de bout en bout. »

C’est le nouveau manque côté MSP. La plupart des PME concernées par NIS2 dépendent d’un MSP pour leur IT et leur sécurité managée. Elles se tournent vers ce MSP en premier — et 99 % des MSP en 2026 proposent déjà de la sécurité managée, mais très peu ont une offre NIS2 dédiée prête à vendre.

Cet article s’adresse aux MSP du DACH et du Benelux qui veulent ajouter le scan de conformité NIS2 à leur offre sans écrire de code, recruter un ingénieur sécurité, ni construire 18 mois de cartographies de contrôles.

Pourquoi NIS2 est une ligne de service MSP en 2026, pas une préoccupation future

Le comportement d’achat a basculé au T1 2026. Les PME qui traitaient la cybersécurité comme un sujet de renouvellement la traitent désormais comme une question de conformité trimestrielle — et attendent que leur MSP y réponde.

Trois signaux à suivre :

58 % des PME de l’UE recourent à un MSP pour la sécurité managée (ConnectWise 2026), contre 51 % en 2024
La sécurité entièrement managée est passée de 29 % à 36 % du mix de services MSP en deux ans (Datto State of MSP)
34 % des PME européennes ne peuvent pas allouer elles-mêmes un budget NIS2 (ENISA) — la dépense passe donc par leur MSP, pas en direct

Pour les MSP, c’est une ligne de revenus qui n’existait pas. La question est de savoir si vous la construisez ou si vous vous associez pour l’obtenir.

Construire vs. s’associer : les chiffres ne plaident pas pour construire

Construire un scanner de sécurité externe en interne paraît faisable jusqu’à ce qu’on en cartographie l’étendue réelle. Un vrai scan mappé NIS2 exige la validation de chaîne TLS/SSL, les contrôles DNSSEC, l’analyse DMARC/SPF/DKIM, le parsing des politiques d’en-têtes de sécurité, la cartographie des contrôles OWASP, la détection de CVE, et une correspondance contrôle-vers-référentiel pour l’article 21 de NIS2 et l’Annexe A d’ISO 27001.

Cette pile prend 6 à 9 mois à un ingénieur sécurité pour atteindre la qualité production. Ensuite vous la maintenez pour toujours.

Voie	Délai jusqu’au premier déploiement client	Développement requis	Maintenance continue	Cartographie des contrôles NIS2
Construire en interne	6-9 mois	1 ingénieur sécurité + 1 backend	Permanente (flux CVE, mises à jour de référentiels, dérive du scanner)	À construire de zéro
Agrégateur open-source	4-6 semaines	1 ingénieur senior	Permanente (chaque faux positif est à votre charge)	À faire soi-même
Partenariat marque blanche	14 jours	Zéro	Gérée par l’éditeur	Pré-mappée (NIS2 + ISO 27001)

La voie marque blanche signifiait autrefois des outils faibles et des rapports bricolés. Cela a changé ces 12 derniers mois. La génération actuelle de scanners de posture externe — SaaSFort inclus — exécute 60+ contrôles déterministes en moins de 60 secondes, exporte des PDF prêts pour l’audit, et mappe chaque constat directement aux contrôles de l’article 21 de NIS2.

Comment fonctionne le programme MSP de SaaSFort

Trois paliers, chacun calibré selon votre position dans la dynamique de canal. La tarification reflète le revenu récurrent que conserve un MSP sur chaque déploiement client.

MSP-Starter (gratuit)

Moins de cinq déploiements clients. Tableau de bord multi-tenant, thème marque blanche avec votre logo et votre palette de couleurs, capacité de scan partagée. C’est le palier pour tester la dynamique : intégrez un ou deux clients existants, lancez leurs scans, envoyez le rapport sous votre marque, observez leur réaction.

Aucun engagement, aucun contrat, aucun calcul de partage de revenus encore.

MSP-Growth (30 % de partage de revenus récurrent)

Le moment où vous avez un vrai pipeline. Sous-domaine personnalisé (security.{votre-domaine-msp}.com), rapports PDF entièrement en marque blanche avec votre identité, API de scan en masse pour l’onboarding par lots, support e-mail avec SLA. Vous facturez le client ; nous partageons 30 % sur chaque euro récurrent.

Pour un MSP avec 30 déploiements à 19 €/mois en moyenne, cela représente ~400 € de partage net mensuel — récurrent, sans bataille de churn de votre côté puisque le client ne nous voit jamais.

MSP-Scale (50 % de partage de revenus récurrent)

Cinquante déploiements clients actifs ou plus. Le partage de revenus double. Vous obtenez aussi un budget co-marketing, un responsable partenaire dédié, des demandes de fonctionnalités prioritaires et des playbooks de succès client conçus spécifiquement pour les déploiements PME médiés par MSP.

Le palier 50 % égale le meilleur programme de canal de l’espace GRC (Vanta et Drata plafonnent à 30-40 % pour la plupart des revendeurs).

À quoi cela ressemble au quotidien

Un scénario concret pour un MSP de 12 techniciens à Düsseldorf avec 80 clients PME dans l’industrie et les services professionnels.

Semaine 1 : Signez l’accord MSP-Starter. Intégrez vos trois plus gros clients dans le tableau de bord multi-tenant. Lancez leurs scans, examinez les constats, marquez les rapports PDF à votre logo.

Semaine 2 : Envoyez les rapports à ces trois clients avec une lettre d’accompagnement d’une page — « nous avons réalisé un contrôle de préparation NIS2 sur votre posture externe, voici les constats, voici le plan de remédiation recommandé ». Deux d’entre eux vous confient une mission de surveillance NIS2 payante à votre tarif habituel de sécurité managée.

Semaines 3-4 : Déployez l’offre auprès de vos 10 clients suivants. Passez au palier MSP-Growth. Vous facturez désormais 300-800 €/mois par client pour la surveillance NIS2, payez 19 €/mois par scan à SaaSFort, et empochez 30 % de partage en plus de votre marge de service.

Mois 3 : 30 déploiements clients actifs. Le contrôle mensuel de conformité est devenu un point de contact récurrent qui fait remonter des opportunités d’upsell que vous n’auriez jamais détectées.

Pourquoi DACH et Benelux spécifiquement

La plateforme est consciente des spécificités réglementaires importantes pour les marchés germanophones et le Benelux.

Cartographie d’un référentiel national intégrée à chaque rapport
Cadrage de la responsabilité personnelle des dirigeants dans le résumé exécutif — il rend le rapport de qualité conseil d’administration
Alignement sur les transpositions NIS2 NL/BE (Cyberbeveiligingswet, régime CCB) — même scanner, cartographie des contrôles localisée
PDF prêt pour l’audit que les auditeurs IT acceptent comme preuve de posture externe

Le pitch au client final PME est simple : « Votre MSP est désormais en mesure de démontrer la conformité de posture externe à l’article 21 de NIS2 pour votre domaine, chaque mois, avec un rapport prêt pour l’audit. Le coût est intégré à votre forfait de sécurité managée. »

Foire aux questions

Faut-il un ingénieur sécurité en interne pour proposer ce service ?

Non. Le scanner s’exécute de façon autonome. Votre équipe technique doit savoir lire un rapport et rédiger un ticket de remédiation — deux compétences standard dans tout MSP proposant déjà de la sécurité managée. L’onboarding prend 60 à 90 minutes par technicien.

Comment cela s’intègre-t-il à notre pile RMM/PSA existante ?

L’API de scan en masse peut être déclenchée depuis tout RMM supportant les webhooks (ConnectWise Manage, Datto Autotask, N-able N-central). La plupart des MSP déclenchent un scan mensuel par client et acheminent les constats vers leur outil de ticketing comme tâches de conformité.

Qu’arrive-t-il à notre marge si SaaSFort augmente ses prix ?

Le pourcentage de partage de revenus est verrouillé contractuellement à la signature, pour la durée du partenariat. Si SaaSFort augmente le prix client final, votre pourcentage reste identique et votre part absolue en euros augmente proportionnellement.

Pouvons-nous vendre ce service à des clients hors périmètre NIS2 ?

Oui — et beaucoup de MSP le font. Le scan de posture externe est utile pour ISO 27001, les preuves SOC 2 et les DDQ d’achats enterprise de base (voir notre guide d’automatisation des questionnaires). NIS2 est l’angle d’accroche ; le scan sous-jacent couvre une empreinte de conformité bien plus large.

Quelle est la voie de sortie si nous décidons que ce n’est pas pour nous ?

Préavis de 30 jours sur les paliers MSP-Growth et MSP-Scale. Les données clients s’exportent proprement ; leurs scans restent accessibles via des plans SaaSFort directs s’ils choisissent de continuer.

Prochaines étapes

Si votre MSP compte plus de 20 clients PME en DACH ou Benelux et qu’au moins trois d’entre eux ont posé des questions sur NIS2 ces 90 derniers jours, le calcul partenariat-vs-construction est déjà tranché.

Commencez par un seul scan sur votre propre domaine MSP — lancez un scan SaaSFort maintenant, 60 secondes, sans inscription. Voyez à quoi ressemble votre propre posture externe avant de proposer ce service à un client.

Les MSP qui lancent une ligne de service NIS2 au T2 2026 seront ceux dont leurs clients PME se souviendront à la prochaine vague réglementaire. Ceux qui ne le font pas auront une conversation différente avec ces mêmes clients dans douze mois.