Un projet, une date de septembre et un seul profil de service
Le 24 juillet, l'ENISA a soumis à consultation publique le projet de schéma européen pour les services gérés de sécurité, appelé EUMSS. Juhan Lepassaar, directeur exécutif de l'agence, a résumé l'objectif en une ligne : "Common baselines can guarantee a level of confidence in services offered." La consultation passe par le portail EU Survey et se clôt le 13 septembre 2026.
La base juridique est l'article 48, paragraphe 1, du Cybersecurity Act tel que modifié par le règlement (UE) 2025/37, que la Commission a adopté le 15 janvier 2025 précisément pour permettre la certification européenne de services et non des seuls produits. La Commission a chargé l'ENISA du schéma candidat le 25 avril 2025. L'appel à experts a été lancé le 25 juin 2025 et le groupe de travail ad hoc a tenu sa réunion inaugurale le 13 octobre 2025.
Ce qui en ressort neuf mois plus tard est plus étroit que le mandat. Le projet traite le domaine vertical du cycle de vie de la gestion des incidents et, à l'intérieur, un unique profil de service : la réponse aux incidents.
Les cinq que nomme la loi, la seule que couvre le projet
La définition des services gérés de sécurité de l'acte modifié atteint cinq activités : la surveillance de la sécurité et la détection d'incidents, la réponse aux incidents, les tests d'intrusion, les audits de sécurité et le conseil en cybersécurité. Le projet certifie la deuxième. Les quatre autres ne sont pas exclues par principe, car la structure est conçue pour accueillir d'autres profils de service, mais elles ne figurent pas dans la première version.
Cet ordre mérite qu'on s'y arrête. La réponse aux incidents est le service que vous déclenchez lorsque quelque chose a déjà mal tourné. La surveillance et la détection sont le service que vous payez chaque mois pour que cela n'arrive pas. Un prestataire pourra bientôt affirmer, en toute exactitude, qu'il détient un certificat européen de services gérés de sécurité alors que la partie continue de son contrat avec vous n'a jamais été évaluée au titre du schéma.
Il s'agit moins d'une critique de l'ordre choisi que d'un avertissement sur la façon dont la marque sera lue. Les marques de certification voyagent plus loin et plus vite que leurs déclarations de périmètre.
Pourquoi basic et high ne disent rien de la plateforme
Le schéma repose sur une conception en couches. Une couche horizontale fixe les exigences de base applicables à tout service géré de sécurité certifié, une couche verticale porte les exigences propres à chaque profil. La base horizontale couvre la conception sécurisée du service et de la plateforme, la gestion du déploiement et de la transition, la gestion de la disponibilité et de la continuité, la gestion opérationnelle du service ainsi que l'amélioration continue et la maintenance technologique.
Il existe trois niveaux d'assurance : basic, substantial et high. Le détail à retenir du projet est que ces exigences horizontales constituent un prérequis obligatoire pour chaque profil certifié et sont identiques aux trois niveaux. Le niveau fait donc varier la couche verticale, pas les fondations. En clair, un prestataire certifié high a démontré davantage sur la manière dont il mène une intervention de réponse aux incidents, et exactement autant qu'un prestataire basic sur la façon dont sa plateforme est conçue et maintenue disponible.
Dix-huit mois jusqu'au projet, et le client d'ancrage est Bruxelles
Faites le calcul du calendrier. De la base juridique du 15 janvier 2025 à un projet ouvert aux commentaires le 24 juillet 2026, il s'écoule dix-huit mois. Les commentaires se clôturent le 13 septembre, puis vient l'adoption. Les prestataires qui alimentent la réserve de cybersécurité de l'UE disposent ensuite de deux ans à compter de l'entrée en vigueur pour détenir le certificat.
Cette dernière clause est le mécanisme, et elle mérite d'être nommée précisément. Pour le marché privé, le schéma est facultatif. Pour les prestataires qui alimentent la propre réserve de capacité de réponse de l'Union, il ne l'est pas. L'UE s'est constituée en client d'ancrage et a laissé la marque optionnelle pour tous les autres, ce qui est la voie habituelle par laquelle un schéma volontaire devient une exigence de fait dans les appels d'offres sans que personne ne la légifère. Attendez-vous à voir EUMSS apparaître comme critère de notation dans la commande publique bien avant qu'il ne soit complet.
Ce qu'il faut demander à votre prestataire avant le 13 septembre
Trois points méritent d'être réglés maintenant. D'abord, demandez au regard de quel profil de service votre prestataire compte se certifier et si le service que vous achetez réellement s'y trouve. Si votre contrat porte sur la surveillance et la détection, la réponse honnête aujourd'hui est non. Ensuite, demandez quel niveau d'assurance il visera et faites-lui expliquer ce que cela change, dès lors que la base ne bouge pas d'un niveau à l'autre.
Enfin, traitez la consultation comme un canal d'influence ouvert et non comme une annonce. Les commentaires se clôturent le 13 septembre et ce qui reste ouvert, c'est précisément le périmètre de la première version. Les acheteurs sont systématiquement sous-représentés dans ces consultations face aux prestataires et aux organismes d'évaluation de la conformité. En France, la qualification PRIS de l'ANSSI encadre déjà les prestataires de réponse aux incidents de sécurité, si bien qu'un prestataire français vivra avec une qualification nationale et un certificat européen côte à côte. L'obligation de chaîne d'approvisionnement de NIS2 pèse de toute façon sur vous, ce qui fait du périmètre de ce schéma une question que vous ne pouvez pas déléguer à un fournisseur.
À lire ensuite: L'UE évaluera elle-même l'IA de pointe | Un fournisseur souverain reprend son code en licence
