Qu'est-ce qu'un fournisseur de services managés (MSP) ?

Un fournisseur de services managés (MSP, pour managed service provider) est une société tierce qui exploite pour vous une partie de votre IT dans le cadre d'un contrat récurrent. Il supervise, applique les correctifs, sauvegarde, sécurise et dépanne les systèmes concernés, en général 24 h/24, selon des niveaux de service convenus. Vous payez un forfait récurrent ; le MSP prend en charge le travail opérationnel au quotidien.

Points clés

• Un MSP est rémunéré pour que les systèmes fonctionnent et s'améliorent, pas pour intervenir uniquement après la panne.
• Le droit européen définit désormais les MSP : la directive NIS2 couvre l'« installation, la gestion, l'exploitation ou la maintenance » de produits et systèmes TIC, sur site ou à distance.
• Un fournisseur cloud comme AWS ou Azure possède la plateforme ; un MSP exploite vos charges de travail dessus. La plupart des clients du cloud ont besoin des deux.
• La tarification se fait par appareil, par utilisateur, par paliers, en pourcentage des dépenses cloud ou au forfait. Chaque modèle crée des incitations différentes.
• Vous pouvez confier les tâches à un MSP, mais pas votre responsabilité réglementaire. Inscrivez la répartition des rôles dans le contrat.
• Azure Expert MSP sera retiré d'ici fin 2027 : vérifiez quelle validation Microsoft ou AWS en cours de validité détient réellement le prestataire.

Que fait un MSP ?

Un MSP assume la responsabilité opérationnelle d'une partie convenue de votre environnement. Ce périmètre peut être vos comptes AWS, votre tenant Microsoft 365, votre réseau, vos postes de travail ou votre supervision de la sécurité.

Les tâches récurrentes typiques comprennent :

• Supervision et alertes 24 h/24 et 7 j/7 sur les serveurs, bases de données, réseaux et services cloud
• Réponse aux incidents et corrections dans des délais de prise en charge et de résolution convenus
• Application de correctifs sur les systèmes d'exploitation et cohérence des configurations
• Sauvegardes, avec des tests réguliers pour vérifier que les restaurations fonctionnent réellement
• Surveillance de la sécurité, gestion des vulnérabilités et revues d'accès
• Revues des coûts cloud : redimensionnement, planification et remises sur engagement
• Reporting mensuel sur la disponibilité, les incidents et les dépenses, ainsi que des travaux d'amélioration planifiés

L'Union européenne dispose désormais d'une définition juridique. La directive NIS2, article 6, point 39, définit un MSP comme une entité qui fournit des « services liés à l'installation, à la gestion, à l'exploitation ou à la maintenance de produits, de réseaux, d'infrastructures, d'applications TIC ou de tout autre réseau et système d'information, par une assistance ou une administration active, réalisée soit dans les locaux des clients, soit à distance ». L'annexe I de la même directive range les MSP et les fournisseurs de services de sécurité gérés parmi les secteurs couverts.

Comment fonctionne un MSP en pratique

Un service MSP efficace repose sur trois couches. Si l'une manque, vous achetez un tableau de bord avec un numéro de téléphone.

Outils

Le MSP installe des agents de supervision et la collecte de journaux, et gère l'infrastructure as code (Terraform ou CloudFormation). Il utilise des outils d'observabilité (CloudWatch, Azure Monitor, Datadog) et un système de tickets. Les bons prestataires conservent ce code dans vos dépôts, pas dans les leurs.

Processus

Des runbooks décrivent le traitement de chaque type d'alerte, d'un disque qui se remplit à une intrusion suspectée. La gestion des changements, les revues de capacité et les retours d'expérience après incident viennent en complément. Demandez à voir des exemples réels, anonymisés.

Personnes

Des ingénieurs d'un centre d'opérations réseau (NOC) et d'un centre d'opérations de sécurité (SOC) appliquent les runbooks. Leur valeur réelle tient à la reconnaissance de schémas. Une équipe qui a vu la même panne dans de nombreux environnements la corrige plus vite qu'une équipe qui la découvre.

Types de fournisseurs de services managés

Les MSP se distinguent par ce qu'ils exploitent et par les plateformes qu'ils connaissent. Faites correspondre le type à votre parc avant de comparer des noms.

La frontière entre MSP cloud et MSSP s'estompe. On ne peut pas exploiter un parc cloud de façon responsable sans surveillance de sécurité intégrée, si bien que de nombreux prestataires vendent les deux dans un même contrat. Notre comparatif MSP, MSSP et MDR va plus loin.

MSP, fournisseur cloud et société de services IT

Ce sont les trois rôles que les acheteurs confondent le plus. La différence tient à la propriété et à la responsabilité.

La responsabilité en matière de sécurité est répartie par couches. AWS décrit son modèle de responsabilité partagée comme la sécurité « du » cloud (AWS) par opposition à la sécurité « dans » le cloud (le client). Avec un MSP, il y a trois couches :

• Fournisseur cloud : centres de données physiques, matériel, hyperviseur et disponibilité des services managés.
• MSP : ce que prévoit le contrat, par exemple l'application de correctifs sur les systèmes d'exploitation, la supervision, la réponse aux incidents, les tests de sauvegarde et la gouvernance des coûts.
• Vous : le code applicatif, la classification des données, les décisions d'accès et la responsabilité réglementaire.

Les failles apparaissent aux frontières. Qui applique les correctifs sur les images de base des conteneurs ? Qui approuve les modifications IAM ? Consignez les réponses dans une matrice RACI annexée au contrat.

Qu'est-ce qu'un MSP Azure ou AWS ?

C'est un MSP spécialisé dans un cloud et qui a passé la validation de l'éditeur de ce cloud. Les deux programmes font appel à des auditeurs externes, si bien que ces labels pèsent plus lourd qu'une simple inscription de revendeur.

• AWS. Le programme AWS MSP Partner exige que les partenaires « réussissent un audit rigoureux par un tiers qui évalue vos compétences techniques et la santé de votre activité » (traduction libre). Vous pouvez vérifier un partenaire dans AWS Partner Solutions Finder.
• Azure. Azure Expert MSP de Microsoft comprend une évaluation préalable et un audit de deux jours par un tiers. Microsoft a annoncé qu'Azure Expert MSP « sera retiré d'ici fin 2027 » (traduction libre) et oriente les partenaires vers sa spécialisation Frontier Partner. Si un prestataire met en avant le label Expert MSP, demandez vers quoi il évolue.

Les spécialistes d'un seul cloud vont plus en profondeur ; les MSP multicloud couvrent davantage de terrain. Si vous êtes à 95 % sur AWS avec un abonnement Azure résiduel, il vous faut un spécialiste AWS capable de surveiller la partie Azure. Si une acquisition vous a laissé deux vraies plateformes, vérifiez que le MSP dispose d'ingénieurs certifiés sur les deux. Une présentation ne suffit pas. Consultez nos pages sur les services managés AWS et les services managés Azure pour voir ce que chacune couvre.

Combien d'entreprises font appel à un MSP ?

La plupart des organisations qui utilisent le cloud public se font aider de l'extérieur. Le rapport State of the Cloud 2025 de Flexera a constaté que 60 % des organisations faisaient appel à des MSP, à un titre ou un autre, pour gérer le cloud public. Son rapport 2026 relève une hausse de 3 points de l'usage des MSP en grande entreprise, tandis que l'usage dans les PME a reculé de 48 % à 39 %, ce que Flexera attribue aux contraintes budgétaires.

Avantages d'un MSP

• Des compétences que vous ne pourriez pas recruter une à une. Le réseau cloud, Kubernetes, le FinOps et l'analyse de sécurité sont des spécialités distinctes. Un MSP répartit ces profils entre de nombreux clients.
• Une vraie couverture 24/7. Assurer seul une astreinte permanente suppose plusieurs personnes par rôle, une fois comptés les congés, les maladies et le turnover.
• Une gestion des incidents plus rapide. L'expérience acquise chez plusieurs clients raccourcit le diagnostic.
• Une discipline des coûts. Quelqu'un est responsable de la facture cloud chaque mois : redimensionnement, suppression des ressources inutilisées, dimensionnement et renouvellement des remises sur engagement comme les Savings Plans.
• Un appui à la conformité. Selon l'article 21 de NIS2, les organisations concernées doivent gérer la sécurité de la chaîne d'approvisionnement, y compris leurs relations avec leurs prestataires de services. Un MSP certifié ISO 27001 et doté d'un accord de traitement des données RGPD clair facilite la production des preuves.

Risques et compromis

Tout guide honnête doit aborder ce qui peut mal tourner. Voici les points de défaillance habituels et comment les limiter.

• Perte de connaissances internes. Après quelques années, les compétences pratiques de votre équipe s'érodent. Parade : conservez la documentation, l'IaC et les runbooks dans vos propres systèmes et planifiez des sessions de transfert de connaissances.
• Détournement des SLA. Une alerte accusée réception en 30 secondes et triée 45 minutes plus tard « respecte » pourtant un SLA de prise en charge. Parade : mesurez le délai de résolution et le délai avant une mise à jour utile, et demandez des distributions de MTTR, pas des moyennes.
• Dépendance vis-à-vis du MSP. Des outils propriétaires et des clauses de sortie sévères rendent le départ difficile. Parade : privilégiez des outils ouverts ou natifs du cloud et convenez à l'avance d'un accompagnement de transition.
• Incitations de coûts mal alignées. Des honoraires indexés sur une part des dépenses cloud récompensent une facture plus élevée. Un forfait fixe récompense un moindre effort. Parade : ajoutez des clauses d'économies partagées ou des revues de coûts trimestrielles.
• Règles sur les données transfrontalières. Si le SOC est situé hors de l'UE et que vos données sont dans des régions de l'UE, les règles de transfert du RGPD s'appliquent. Parade : vérifiez les garanties (comme les clauses contractuelles types) dans le contrat, puis auditez-les.

Comparaison des modèles de tarification des MSP

Les prix varient trop selon le périmètre pour citer une moyenne juste. Comparez d'abord le modèle, puis le chiffre.

Comparez toujours les honoraires du MSP plus la facture cloud au coût complet d'un même travail réalisé en interne.

Comment choisir un MSP

1. Définissez d'abord le périmètre. Listez les charges de travail et environnements concernés, les tâches transférées et les référentiels de conformité applicables.
2. Vérifiez les validations, puis allez au-delà. AWS MSP, les désignations Microsoft et ISO 27001 sont le ticket d'entrée. Demandez un retour d'expérience post-incident anonymisé : il en dit plus que n'importe quel label.
3. Faites un exercice sur table. Donnez un scénario, par exemple « vendredi 23 h CET, CloudTrail montre une connexion root à la console depuis une adresse IP inconnue », et demandez chaque étape, de la détection à la correction.
4. Lisez l'horloge du SLA. Vérifiez 24/7 ou heures ouvrées, définitions de gravité, crédits de service et exclusions.
5. Convenez de la sortie. Couvrez l'export des données et des configurations, une période de transition, l'accès pour un successeur et la propriété de l'automatisation construite pour vous.

Notre guide plus détaillé sur comment choisir une société MSP comprend une structure d'appel d'offres.

Quand un MSP n'est pas le bon choix

• L'infrastructure est votre produit. Si la latence ou un matériel sur mesure fait votre avantage, il vous faut vos propres ingénieurs.
• Vous avez l'échelle. À très haut niveau de dépenses cloud, une équipe plateforme interne peut coûter moins cher que les honoraires du MSP et garde le savoir en interne.
• Les règles interdisent l'accès à des tiers. Certaines charges de défense ou classifiées ne peuvent pas être exploitées par un opérateur externe.
• Personne ne connaît votre pile. Pour du HPC de niche ou du matériel sur mesure, le vivier de talents du MSP peut être trop restreint.

Exemple : exploitation managée 24/7 sur AWS

Opus Bilprovning est l'une des plus grandes sociétés de contrôle technique de Suède, avec près de 100 stations et environ deux millions de contrôles par an. Elle voulait un seul partenaire responsable pour l'ensemble de son parc AWS, couvrant CloudOps, DevOps et SecOps. Opsio exploite désormais ce parc avec un support opérationnel 24/7, une supervision proactive, une gestion des changements et un durcissement continu de la sécurité. L'équipe interne reste concentrée sur les contrôles. Consultez l'étude de cas Opus Bilprovning.

Foire aux questions

Quel est un exemple de MSP ?

Un MSP cloud qui assure moyennant un forfait mensuel la supervision 24/7, l'application des correctifs, la réponse aux incidents et la maîtrise des coûts sur les comptes AWS et Azure d'une entreprise en est un exemple typique. Opsio, éditeur de cet article, en est un ; consultez notre présentation des services managés. De grandes sociétés de services IT et de nombreuses sociétés régionales de support informatique vendent aussi des services managés.

Quelle est la différence entre un MSP et un fournisseur cloud ?

Un fournisseur cloud comme AWS, Azure ou Google Cloud possède et exploite la plateforme. Un MSP exploite vos charges de travail sur cette plateforme : supervision, correctifs, sécurité et coûts. La facture de la plateforme va au fournisseur cloud ; les honoraires d'exploitation vont au MSP.

Un MSP est-il la même chose qu'un prestataire de services IT ?

Un MSP est un type de prestataire de services IT. Les sociétés de services IT peuvent vendre des projets, du conseil ou du dépannage ponctuel. Un MSP prend spécifiquement en charge de façon continue l'exploitation des systèmes dans le cadre d'un SLA.

Combien coûte un MSP ?

Cela dépend du périmètre, de la taille du parc et du niveau de SLA, si bien que les moyennes publiées sont un mauvais guide. Les modèles courants sont le prix par appareil, par utilisateur, les forfaits par paliers, le pourcentage des dépenses cloud et les forfaits fixes avec économies partagées. Demandez un devis fondé sur votre inventaire et comparez-le au coût complet d'un personnel interne.

Les MSP sont-ils couverts par NIS2 ?

Oui. NIS2 cite les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés à l'annexe I : les MSP concernés ont donc leurs propres obligations de sécurité. Leurs clients doivent aussi gérer la sécurité de la chaîne d'approvisionnement au titre de l'article 21.

Lectures associées

• L'objectif d'un fournisseur de services managés (MSP)
• Pourquoi chaque dirigeant devrait envisager les services managés SOC
• Qu'est-ce qu'un analyste SOC et pourquoi ce rôle est-il essentiel ?

Plus depuis notre base de connaissances: Qu'est-ce que les services cloud managés Oracle ? Périmètre, coût et alternatives