Votre prestataire informatique détient les accès administrateur de vos serveurs et de vos sauvegardes. En 2026, deux juridictions françaises ont condamné des prestataires pour une sauvegarde jamais vérifiée et pour un serveur livré sans pare-feu. Dans les deux dossiers, l'entreprise cliente avait d'abord payé la remise en route de son activité, avant d'attendre des années une indemnisation.
Dans l'exemple le plus récent d'incident cyber, jusqu'à 1,7 million de dossiers de l'Afpa ont pu être exposés à cause d'une faille dans l'outil de gestion des hébergements d'un éditeur tiers. L'organisme de formation n'hébergeait pas cet outil, a précisé son directeur adjoint, Pierre Prady.
Vous prenez ce risque dès que vous confiez votre parc informatique à une ESN, une entreprise de services du numérique locale ou à un MSP. Un MSP (pour managed service provider) est un fournisseur de services informatiques gérés. Contre un abonnement mensuel, il administre à distance vos serveurs et vos postes de travail, grâce à un logiciel de supervision et de prise en main à distance installé sur chacune de vos machines. Avec ce logiciel, son technicien peut avoir accès à vos systèmes à toute heure. Si un pirate dérobe ses identifiants, il obtient exactement les mêmes droits.
Donc avant de lui confier ces accès, quelles questions lui poser et quelles certifications exiger ? Et à quels signaux d'alerte reconnaître un prestataire à écarter ?
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Interrogez le prestataire sur ses accès à vos machines
Comme on l'apprend dans le Panorama de la cybermenace 2025 de l'ANSSI, les pirates installent des logiciels commerciaux de prise en main à distance à toutes les étapes d'une attaque, du déplacement d'une machine à l'autre jusqu'au vol de données. Dans la majorité des incidents recensés par l'agence, il s'agissait d'AnyDesk, mais aussi TeamViewer et ScreenConnect. Dans certains cas, les attaquants ont commencé par compromettre un prestataire de leur victime, parfois grâce à des identifiants divulgués sur des forums cybercriminels.
Avant de signer, demandez au prestataire quel logiciel il installera sur vos postes et qui, dans son équipe, pourra se connecter à vos machines. Chaque technicien doit disposer d'un compte nominatif protégé par une double authentification, jamais d'un identifiant administrateur partagé entre plusieurs clients. Exigez aussi de savoir où il conserve vos mots de passe administrateur, et comment il les renouvelle quand un salarié quitte son équipe. Sur le poste de votre comptabilité et vos autres postes sensibles, vous pouvez imposer que chaque prise en main à distance soit validée par l'utilisateur devant son écran.
Posez enfin la question des journaux de connexion. Dans ces fichiers, chaque accès est inscrit avec son heure et l'adresse IP de la personne connectée. Piratée à deux reprises au printemps 2025, une agence de voyage corse a perdu 280 000 euros en billets d'avion achetés frauduleusement, puis a dû réclamer en justice les journaux de connexion de ses fournisseurs. Sa messagerie était hébergée chez Gandi, et cette entreprise refusait de les transmettre faute de contrat direct avec l'agence, qui passait par un revendeur. Le 11 juin, la cour d'appel d'Aix-en-Provence a contraint Gandi et la plateforme de réservation Amadeus à les livrer, car l'expert judiciaire ne pouvait pas reconstituer sans eux le chemin emprunté par les pirates. Inscrivez donc dans votre contrat la durée de conservation de ces journaux et votre droit de les consulter après un incident.
Exigez un label ou une qualification vérifiable
Cybermalveillance.gouv.fr attribue le label ExpertCyber aux prestataires capables de sécuriser les systèmes d'une entreprise ou d'une collectivité et de l'assister après un incident. L'audit est confié à AFNOR Certification, sur un référentiel rédigé avec des syndicats professionnels du numérique et France Assureurs. Environ 200 entreprises étaient labellisées en mars 2025. Vous pouvez vérifier dans l'annuaire en ligne de la plateforme si votre prestataire en fait partie, sans vous contenter du logo affiché sur son site.
L'ANSSI délivre de son côté une qualification plus exigeante, destinée aux prestataires d'administration et de maintenance sécurisées, ou PAMS. Son objet est le métier d'un infogérant, c'est-à-dire l'intervention à distance sur les systèmes de ses clients. Les trois candidats en cours de qualification rendus publics par l'agence sont de grands groupes de l'hébergement et des télécoms. Vous avez surtout intérêt à l'exiger si vous travaillez pour la défense ou la santé, où vos clients vous imposent eux-mêmes des règles de sécurité strictes.
Pour la norme ISO 27001, demandez le certificat lui-même et lisez son périmètre. Un prestataire peut en effet être certifié pour son seul centre de données, sans que l'équipe de support chargée de vos machines soit passée par l'audit. Même certifié, il doit répondre aux questions précédentes, car l'auditeur examine son organisation à une date donnée, pas la configuration de vos serveurs.
Repérez les signaux d'alerte dans l'installation et le contrat
Méfiez-vous d'un serveur livré avec ses réglages d'usine. En avril 2020, l'entreprise MISA, spécialisée dans l'installation d'équipements mécaniques, a essuyé la foudre d'un ransomware quelques semaines après le début de la modernisation de son système par 3 Services Informatiques. Windows Server 2019 était installé sans aucune des mesures de sécurisation recommandées par l'ANSSI, et aucun pare-feu de Windows n'était activé, si bien que l'outil de filtrage des connexions à distance ajouté par-dessus était inopérant, a relevé l'expert judiciaire. Le 28 avril dernier, la cour d'appel de Reims a condamné ce prestataire pour un Windows Server mal configuré, à hauteur de la moitié des 24 195 euros de préjudice de son client.
En septembre 2018, l'hôpital privé de Saint-Agrève, en Ardèche, a aussi été victime d'un ransaomware et la sauvegarde de son serveur n'a été d'aucun secours, car elle n'avait jamais fonctionné. Le contrat de maintenance de l'hôpital était contradictoire, puisque la surveillance régulière des sauvegardes était à la charge du prestataire dans son annexe 1, alors qu'elle incombait au seul client dans son article 5.2.3. Sept ans et demi plus tard, le 3 mars 2026, le tribunal de Privas a condamné l'ancien prestataire de l'hôpital à lui verser 42 453,06 euros, pour plus de la moitié le coût de cinq intérimaires chargés de ressaisir les données perdues. Lisez chaque clause sur les sauvegardes, et exigez un test de restauration à intervalles réguliers, avec un compte rendu écrit.
Réclamez à votre prestataire la liste de ses sous-traitants, de l'hébergeur de ses serveurs au centre d'appels de son support. Au regard du RGPD, il est lui-même un sous-traitant, et il ne peut pas confier vos données personnelles à une autre entreprise sans votre autorisation écrite préalable, rappelle la CNIL. À la fin du contrat, il doit vous restituer ces données ou les supprimer. S'il est incapable de vous donner ces noms, il ignore lui-même qui peut accéder à vos données.
Rédigez votre propre cahier des charges
Dans l'affaire de Reims, les juges ont laissé la moitié du préjudice à la charge de MISA, faute de cahier des charges formel, sans lequel son prestataire ne pouvait pas connaître ses besoins exacts. Il est possible de rédiger ce document en quelques pages. Listez vos serveurs et vos postes, puis indiquez les données dont la perte bloquerait votre activité, à commencer par la comptabilité et les dossiers clients. Précisez ensuite le délai d'intervention attendu après une attaque, puis la fréquence des sauvegardes et de leurs tests de restauration.
Prévoyez aussi la sortie du contrat, avec la remise de tous les mots de passe administrateur et de la documentation de votre réseau le jour du départ du prestataire, comme on vous l'explique dans l'encadré ci-dessus.
Dans la directive européenne NIS2, les fournisseurs de services gérés de taille moyenne ou grande sont soumis eux aussi à des obligations de cybersécurité, dont la sécurisation de leur chaîne d'approvisionnement.
La France devait transposer ce texte au plus tard le 17 octobre 2024 et ne l'a toujours pas fait, ce qui a forcé la Commission européenne a saisir la Cour de justice de l'Union européenne en juillet 2026. Les députés examineront en séance publique, à partir du 7 octobre, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Depuis son adoption en commission spéciale, en septembre 2025, ce texte n'avait jamais été inscrit à l'ordre du jour, en raison de son article 16 bis. Selon cette disposition, aucune porte dérobée ne peut être imposée aux fournisseurs de solutions de chiffrement, et la DGSI est opposée à cette interdiction.
