MDR pour les PME : MSP, MSSP ou SOC interne ?

Dès qu'une PME décide de prendre au sérieux la détection et la réponse aux incidents, elle se retrouve vite face à une avalanche de sigles : MSP, MSSP, MDR, SOC-as-a-Service, XDR, SIEM. En rendez-vous commercial, ils semblent interchangeables, mais ils recouvrent des services et des coûts fondamentalement différents. Dans cet article, nous passons en revue les modèles de service existants, ce qu'ils coûtent concrètement en 2026 et le choix le plus adapté à chaque type de PME néerlandaise. Pour une explication détaillée du fonctionnement de l'externalisation d'un SOC, consultez notre article sur l'externalisation du SOC et le managed detection and response.

Les quatre modèles de service en un coup d'œil

En pratique, une PME a le choix entre quatre modèles de service.

1. MSP (Managed Service Provider). Il gère votre informatique : postes, réseau, sauvegarde, gestion des correctifs, helpdesk. La sécurité fait partie du socle (antivirus, correctifs, quelques réglages de pare-feu), mais la détection 24 h/24 et 7 j/7 n'est pas son cœur de métier.
2. MSSP (Managed Security Service Provider). Il fournit des services de sécurité plus poussés : détection des menaces, threat hunting, évaluations de vulnérabilités, réponse aux incidents, accompagnement à la conformité. Il opère souvent depuis son propre SOC, avec des analystes qui voient passer des schémas d'attaque tous les jours.
3. MDR (Managed Detection & Response). Un service spécifique, centré sur la détection et la neutralisation des menaces. Le MDR est généralement centré sur les terminaux (via EDR/XDR), surveillé 24 h/24 et 7 j/7 par des humains, avec des actions de confinement concrètes en cas d'incident. Il est proposé aussi bien par des spécialistes purs du MDR que par des MSSP.
4. SOC interne. Votre propre équipe d'analystes sécurité 24 h/24 et 7 j/7, avec ses outils et ses processus. En théorie, c'est le modèle qui offre le plus de contrôle ; en pratique, il est quasiment hors de portée pour une PME.

Un point essentiel : le MDR est un SERVICE, le MSSP est un MODÈLE DE PRESTATAIRE. Un MSSP peut proposer du MDR, en plus d'autres services comme la gestion des journaux, la surveillance réseau ou le reporting de conformité. Si vous achetez uniquement du « MDR » auprès d'un spécialiste pur, vous obtenez souvent une réponse rapide aux menaces sur les terminaux, mais pas un programme de sécurité global.

Ce qu'un MSP fait (et ne fait pas) pour votre sécurité

Le MSP néerlandais type assure une excellente hygiène opérationnelle : gestion centralisée des appareils via Intune, MFA sur tous les comptes, gestion automatique des correctifs, supervision des sauvegardes et helpdesk. Pour 70 à 90 % du socle de sécurité d'une PME, c'est la couche la plus importante.

Ce qu'un MSP sans équipe de sécurité ne fournit pas, c'est la surveillance 24 h/24 et 7 j/7 des attaques en cours, le threat hunting et un confinement rapide. Si un attaquant entre grâce à un mot de passe volé et commence à déployer un rançongiciel un samedi à 2 h 15, le helpdesk d'un MSP ne sera souvent disponible que le lundi matin. La différence est fondamentale.

Pour beaucoup de PME, la démarche logique consiste à consolider d'abord le socle avec un partenaire d'infogérance, puis à ajouter une couche de détection par-dessus, souvent auprès du même prestataire s'il propose des services MDR.

MSSP et MDR : le métier de la sécurité

Les MSSP sont organisés pour corréler des schémas d'attaque entre plusieurs clients et réagir rapidement. Ils s'appuient sur des outils SIEM, de l'EDR/XDR sur les terminaux, des flux de threat intelligence et une équipe qui traite les alertes de façon standardisée. Pour en savoir plus sur ce modèle de prestataire, lisez notre article sur ce qu'est exactement un MSSP.

Au sein d'un MSSP, les services MDR couvrent les terminaux, le cloud et le réseau. En cas d'incident confirmé, ils peuvent isoler une machine, arrêter des processus et bloquer des comptes, sans que vous ayez à passer 40 minutes au téléphone à expliquer la situation. Pour une explication complète de la détection sur les terminaux, voir ce qu'est exactement l'EDR.

SOC interne : séduisant en théorie, irréaliste pour une PME

Un SOC interne assurant une couverture 24 h/24 et 7 j/7 nécessite au minimum 5 à 7 ETP d'analystes sécurité pour garantir la continuité (trois équipes, plus le remplacement pendant les congés et les arrêts maladie). Aux Pays-Bas, le salaire annuel brut d'un analyste SOC se situe entre 50 000 et 90 000 euros, et peut atteindre 120 000 euros pour un profil senior ou de niveau 3 dans la Randstad. Ajoutez-y les coûts des outils SIEM, EDR et SOAR, la threat intelligence, la formation et la fidélisation des équipes, et vous arrivez vite à un budget annuel de 1,5 à 3 millions de dollars pour un SOC tout juste opérationnel.

Pour une PME de 50 à 250 salariés, c'est tout simplement disproportionné. Même pour une organisation de 500 salariés, le calcul penche souvent en faveur de l'externalisation, sauf dans un secteur fortement réglementé où d'autres raisons imposent de garder ces activités en interne.

Ce qui est réaliste pour une PME plus importante : un modèle co-managé ou hybride, avec 1 ou 2 profils sécurité en interne pour le contexte métier et les politiques, tandis que la surveillance 24 h/24 et 7 j/7 et le triage de niveau 1 sont confiés à un prestataire MDR. C'est le mode de déploiement qui progresse le plus vite en 2026.

Combien ça coûte en 2026 ?

En Europe, les tarifs sont généralement du même ordre, exprimés en euros.

MSP (sans couche de sécurité dédiée) Infogérance de base avec gestion des correctifs, sauvegarde, helpdesk et gestion des appareils : 100 à 250 dollars par utilisateur et par mois.

MDR (par terminal ou par utilisateur)

• Entrée de gamme (surveillance 24 h/24 et 7 j/7, triage des alertes, confinement de base) : 8 à 25 dollars par terminal et par mois.
• Offre complète avec réponse (confinement, investigation forensique, recommandations de remédiation) : 25 à 50 dollars par terminal et par mois.
• Premium avec analyste dédié et threat hunting : 50 à plus de 100 dollars par terminal et par mois.

Quelques exemples concrets : Huntress Managed EDR à partir d'environ 9 dollars par terminal et par mois, SOC 24 h/24 et 7 j/7 compris. Sophos MDR et SentinelOne se situent entre 7 et 25 dollars par terminal et par mois. Arctic Wolf, avec son modèle d'équipe nominative, est plus cher : à partir d'environ 44 000 dollars par an en entrée de gamme, soit 30 à 60 % au-dessus des fournisseurs à SOC mutualisé. CrowdStrike Falcon Complete tourne autour de 25 à 45 dollars par terminal et par mois. Pour une petite PME de 25 à 75 terminaux, la facture MDR s'établit généralement entre 1 500 et 5 000 dollars par mois.

Services MSSP complets (par organisation et par mois)

• Petite PME (25 à 100 salariés) : 2 000 à 5 000 dollars par mois.
• Entreprises de taille intermédiaire (100 à 500 salariés) : 5 000 à 20 000 dollars par mois.
• Grande entreprise (500 et plus) : 20 000 dollars et au-delà.

Un MSP qui fournit des services de sécurité crédibles se rapproche souvent des tarifs d'un MSSP, entre 150 et 300 dollars par utilisateur et par mois.

SOC interne (à titre indicatif) Coût total la première année : 1,5 à 3,3 millions de dollars (personnel, outils et infrastructure). Coût récurrent : 1,2 à 2 millions de dollars par an.

Quel modèle pour quelle PME ?

Voici une grille de décision pragmatique, fondée sur la taille et le profil de risque.

Moins de 25 salariés, PME classique. Un bon MSP avec un socle Microsoft 365, Intune, la MFA et des sauvegardes couvre 80 % de votre risque. Envisagez un MDR léger (type Huntress) si vous traitez des données clients sensibles ou si votre cyberassurance l'exige.

25 à 100 salariés. Investissez dans un MSP qui propose des services MDR via un SOC mutualisé. Comptez 200 à 400 euros par utilisateur et par mois, tout compris, pour l'informatique et le MDR. Vous bénéficiez d'une détection 24 h/24 et 7 j/7, d'un confinement et d'un support en cas d'incident qu'aucune équipe interne ne peut égaler.

100 à 500 salariés, secteur réglementé. Un MSSP avec un service MDR dédié, complété par 1 à 3 profils sécurité en interne pour les politiques et le contexte métier. Comptez 5 000 à 20 000 euros par mois en externe. Optez pour un SIEM co-managé si vous souhaitez gérer vos journaux vous-même.

Plus de 500 salariés, menace élevée. Un modèle hybride : niveaux 2 et 3 en interne pour le contexte métier, un prestataire externe pour le triage de niveau 1 et la couverture 24 h/24 et 7 j/7. Un modèle entièrement interne se justifie rarement, sauf si la réglementation l'impose.

Le contexte NIS2 : pourquoi la détection fait l'objet de contrôles en 2026

Depuis le 15 août 2026, la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) fait activement appliquer les obligations de NIS2. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; pour les entités importantes, 7 millions d'euros ou 1,4 %. Les dirigeants peuvent voir leur responsabilité personnelle engagée en cas de négligence, avec la possibilité d'une interdiction temporaire de gérer.

L'obligation de notification des incidents est stricte : alerte initiale sous 24 heures, rapport intermédiaire sous 72 heures, rapport final sous un mois. Sans capacité de détection et de réponse, ces délais sont impossibles à tenir. Vous trouverez plus de contexte dans notre dossier sur la conformité NIS2 aux Pays-Bas. Pour une PME soumise à NIS2 (directement ou indirectement via la chaîne d'approvisionnement), une relation démontrable avec un prestataire MDR ou MSSP n'est plus un luxe : c'est ce qu'attendent l'autorité de contrôle, l'assureur et les grands clients.

Les pièges de l'externalisation de la sécurité

Dans notre propre pratique de cybersécurité managée, nous voyons revenir plusieurs erreurs.

• Acheter du MDR sans socle EDR. Certains prestataires imposent leur propre outil EDR, d'autres travaillent avec celui que vous avez déjà. Vérifiez-le en amont, car les licences Defender for Endpoint, CrowdStrike ou SentinelOne peuvent vite coûter cher.
• Un contrat sans engagement de réponse. Recevoir des alertes, ce n'est pas être aidé. Assurez-vous que le contrat précise explicitement ce que le prestataire fait lui-même en cas d'incident (isoler, arrêter des processus, bloquer des comptes).
• Un SLA flou sur le temps de réaction. « Best effort » n'est pas un SLA. Exigez un MTTA et un MTTR concrets, assortis de pénalités.
• Une couverture limitée aux terminaux. Un MDR qui ne surveille que les terminaux passe à côté de ce qui se passe dans le cloud et sur le réseau. La plupart des PME ont aussi besoin de détection sur Microsoft 365 (identités, règles de transfert de messagerie) et sur le réseau.
• Aucune évaluation périodique. Vérifiez chaque trimestre, par un exercice sur table ou une attaque simulée, que le prestataire fournit réellement ce que le contrat promet.

Questions fréquentes sur le MDR, le MSSP et le SOC interne pour les PME

Quelle est la différence concrète entre un MSP qui fait de la sécurité et un MSSP ? Un MSP assure l'infogérance avec la sécurité comme socle ; un MSSP est avant tout une organisation de sécurité, dont le cœur est un SOC 24 h/24 et 7 j/7, une équipe d'analystes et la threat intelligence. Si vous voulez surtout externaliser l'informatique opérationnelle avec une sécurité de base indispensable, un MSP convient. Si vous avez besoin d'une détection active et d'une réponse rapide, choisissez un MSSP ou un MSP qui fournit de façon démontrable des services MDR.

Un MSP sans SOC propre peut-il quand même proposer du MDR ? Oui. De nombreux MSP néerlandais s'appuient en coulisses sur un spécialiste du MDR (Huntress, Sophos, SentinelOne, Bitdefender). Pour une PME, c'est souvent la voie la plus pragmatique : vous avez un partenaire informatique local joignable, et en arrière-plan un SOC spécialisé qui effectue le gros du travail de détection.

Combien coûte un service MDR de base pour 50 postes de travail ? Comptez 500 à 1 500 euros par mois pour un MDR d'entrée de gamme (SOC mutualisé, axé sur les terminaux, surveillance 24 h/24 et 7 j/7, confinement de base). Un MDR complet avec réponse et intégration cloud se situe plutôt entre 1 500 et 3 500 euros par mois. Une offre premium avec analyste dédié coûte nettement plus. Ajoutez-y votre contrat MSP existant pour avoir une vision d'ensemble.

Ai-je besoin à la fois d'un MSSP et d'un MSP ? Pas forcément. La tendance en 2026 est que les MSP intègrent des services de sécurité (parfois via un MSSP partenaire en coulisses), si bien que vous n'avez qu'un seul interlocuteur. Pour les PME de taille intermédiaire et les plus grandes, la combinaison MDR plus MSSP reste fréquente : le MDR pour la détection sur les terminaux, le MSSP pour le programme de sécurité global et le reporting de conformité.

Que se passe-t-il si un incident survient la nuit et que le prestataire réagit lentement ? Posez explicitement la question avant de signer. Exigez un MTTA et un MTTR assortis de pénalités, ainsi que des références de clients ayant traversé une véritable crise. Testez-le chaque trimestre avec un incident simulé ou un exercice sur table. Prévoyez aussi des procédures d'escalade internes claires, car même le meilleur prestataire a besoin de vos informations.

Quand un SOC interne vaut-il malgré tout la peine ? Pratiquement jamais pour une PME au sens strict (jusqu'à 500 salariés). À partir d'environ 1 000 salariés, dans les secteurs réglementés avec des exigences spécifiques de souveraineté ou de contexte métier, un SOC interne devient une option sérieuse. Même dans ce cas, nous voyons en 2026 davantage de modèles hybrides (niveaux 2 et 3 en interne, niveau 1 en externe) que de SOC 24 h/24 et 7 j/7 entièrement internes.

Conclusion

En 2026, le choix entre MSP, MSSP, MDR et SOC interne est rarement une question de tout ou rien pour une PME. Pour la grande majorité des PME néerlandaises, la voie pragmatique est un socle MSP solide pour l'informatique opérationnelle, complété par un service MDR pour la détection et la réponse 24 h/24 et 7 j/7. Un SOC entièrement interne est financièrement hors de portée et opérationnellement inutile pour presque toutes les PME. Plus important que le modèle : le service doit fournir de façon démontrable ce dont vous avez besoin, à savoir une surveillance humaine 24 h/24 et 7 j/7, un confinement rapide, des engagements de SLA concrets et des tests réguliers.

TRON Group fournit cette combinaison aux Pays-Bas : une infogérance intégrant le MDR, une détection 24 h/24 et 7 j/7 via un SOC mutualisé avec des interlocuteurs néerlandophones, et un reporting conforme à NIS2 pour les autorités de contrôle et les assureurs. Vous voulez savoir si votre dispositif de détection actuel résisterait à une véritable attaque ou à un contrôle NIS2 ? Appelez-nous au +31 85 303 5869 ou demandez un scan de sécurité sans engagement. Nous vous conseillons volontiers et vous dirons franchement où en est votre socle.