Types d’externalisation informatique : lequel choisir pour votre entreprise ?

L’externalisation informatique consiste à confier à un prestataire extérieur tout ou partie de votre informatique : le parc et le support, l’hébergement, le développement d’applications, la sécurité. Derrière ce mot unique se cachent pourtant des choix très différents. Pour savoir quel type d’externalisation convient à votre entreprise, il faut trancher trois questions distinctes : quoi externaliser (le périmètre), comment payer et piloter le prestataire (le modèle contractuel) et où le travail sera fait (onshore, nearshore ou offshore).

Ce guide passe en revue ces trois axes, leurs avantages et leurs risques, puis les obligations à prévoir dans le contrat : RGPD, transferts de données hors de l’Union européenne, réversibilité, propriété du code et NIS2. Il se termine par une grille de décision pour choisir le bon modèle.

Qu’est-ce que l’externalisation informatique ?

Le Grand dictionnaire terminologique de l’Office québécois de la langue française définit l’infogérance comme la « prise en charge contractuelle, par un prestataire extérieur, de la totalité ou d’une partie des ressources informatiques d’une entreprise ». Il précise que les termes « externalisation informatique » et « externalisation de l’informatique » s’emploient dans le même sens, de même qu’en anglais outsourcing et facilities management.

En pratique, l’entreprise cliente garde la maîtrise de ses objectifs et de ses données, et le prestataire s’engage sur un service : faire fonctionner les postes de travail, maintenir une application, héberger un site, surveiller la sécurité. Le prestataire peut être une ESN (entreprise de services du numérique, ex-SSII), un infogérant spécialisé dans les PME, une agence de développement, un hébergeur ou un freelance.

Externalisation, sous-traitance et infogérance : quelles différences ?

Les trois mots se recoupent, mais ils ne désignent pas exactement la même chose :

• L’externalisation est la décision de gestion : faire réaliser par un tiers une activité que l’entreprise pourrait faire elle-même.
• L’infogérance est l’externalisation appliquée aux ressources informatiques (définition ci-dessus).
• La sous-traitance a un sens juridique précis en droit français. Selon l’article 1 de la loi n° 75-1334 du 31 décembre 1975, c’est « l’opération par laquelle un entrepreneur confie par un sous-traité, et sous sa responsabilité, à une autre personne appelée sous-traitant l’exécution de tout ou partie du contrat d’entreprise » conclu avec son propre client. On parle donc de sous-traitance quand votre prestataire confie à son tour une partie du travail à un tiers.

Attention, le RGPD emploie aussi le mot « sous-traitant », dans un autre sens : c’est le prestataire qui traite des données personnelles pour votre compte (voir plus bas).

Externalisation totale ou partielle

Quand on demande quels sont les deux grands types d’externalisation, la réponse habituelle oppose l’externalisation totale, où le prestataire prend en charge l’ensemble du système d’information, et l’externalisation partielle, limitée à une fonction (le support utilisateurs, l’hébergement, une application). Les PME sans service informatique interne choisissent souvent une infogérance globale. Les entreprises qui ont une DSI externalisent plutôt des briques précises et gardent en interne l’architecture, la sécurité et le pilotage des prestataires.

Les types d’externalisation informatique selon le périmètre

Le premier critère est ce que vous confiez au prestataire. Chaque périmètre a ses propres métiers, ses propres prestataires et ses propres indicateurs de service.

Infogérance du parc, support et maintenance

C’est la forme la plus courante dans les PME : gestion des postes de travail et des serveurs, centre d’assistance (helpdesk), maintenance préventive et corrective, gestion des comptes et des licences, sauvegardes. Le prestataire intervient à distance et, si besoin, sur site. Le contrat fixe des délais de prise en charge et de résolution selon la gravité de l’incident. Pour comparer les acteurs de ce segment, consultez notre guide pour choisir un prestataire informatique.

Hébergement, cloud et services managés

Vous pouvez confier l’infrastructure (serveurs, stockage, réseau) à un hébergeur ou à un fournisseur de cloud, et son exploitation à un prestataire de services managés. La directive NIS2 donne une définition utile du « fournisseur de services gérés » : une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC, « soit dans les locaux des clients, soit à distance ». Ce périmètre est celui où les règles européennes sur le changement de fournisseur (Data Act, voir plus bas) s’appliquent le plus directement.

Développement et tierce maintenance applicative (TMA)

Le développement externalisé couvre la création d’un logiciel, d’une application mobile ou d’une plateforme web par une équipe extérieure. La tierce maintenance applicative (TMA) est son prolongement : corriger les anomalies, faire évoluer l’application et la maintenir à jour une fois en production. C’est sur ce périmètre que la question de la localisation (onshore, nearshore, offshore) se pose le plus souvent, car le travail se fait entièrement à distance. Si vous hésitez entre garder une équipe interne et externaliser, notre article développement interne ou externalisation détaille ce choix.

Cybersécurité managée

Surveillance des journaux et des alertes, gestion des correctifs, protection des postes, tests d’intrusion, réponse aux incidents : une partie de la sécurité peut être confiée à un prestataire spécialisé. La responsabilité reste toutefois celle de l’entreprise cliente, en particulier au regard du RGPD et, pour les entités concernées, de NIS2. Notre article sur les services de cybersécurité externalisés approfondit ce périmètre.

DSI externalisée, conseil et renfort d’équipe

Enfin, certaines entreprises externalisent le pilotage lui-même : un directeur des systèmes d’information à temps partagé, un architecte ou un chef de projet fournis par une ESN. Le choix du type de prestataire compte autant que le modèle : une agence web et une ESN n’ont ni les mêmes équipes ni les mêmes modes de facturation, comme l’explique notre comparatif agence web ou ESN.

Les modèles contractuels : régie, forfait, centre de services

Le deuxième axe est la manière dont le prestataire est engagé et payé. C’est souvent lui qui détermine le partage des risques.

La régie (assistance technique)

En régie, le prestataire met à disposition un ou plusieurs consultants, facturés au temps passé, généralement au taux journalier moyen (TJM). Vous gardez la maîtrise de ce qui est fait. En contrepartie, le risque de dépassement repose sur vous : si le projet prend plus de jours que prévu, vous payez ces jours.

La régie a une limite juridique à connaître. Le Code du travail interdit le prêt de main-d’œuvre à but lucratif quand il est l’objet exclusif de l’opération (article L8241-1 : « Toute opération à but lucratif ayant pour objet exclusif le prêt de main-d’oeuvre est interdite ») ainsi que le marchandage (article L8231-1). Une prestation de régie licite doit donc porter sur une expertise ou un service, et les consultants restent encadrés par leur employeur, le prestataire. Évitez de les gérer comme vos propres salariés (horaires imposés, ordres directs, intégration à vos équipes sans distinction).

Le forfait

Au forfait, le prestataire s’engage sur un résultat (un logiciel qui répond à un cahier des charges, une migration terminée) pour un prix et un délai fixés. Le risque de dépassement passe de son côté. En échange, tout changement de périmètre fait l’objet d’un avenant, et la qualité du cahier des charges devient déterminante. Un forfait signé sur un besoin flou se termine souvent en litige sur ce qui était « inclus ».

Le centre de services et les services managés

Le centre de services est un forfait récurrent : le prestataire prend en charge une activité continue (support, TMA, exploitation) et s’engage sur des niveaux de service (SLA : délais de prise en charge, de résolution, disponibilité). Vous ne payez plus des jours mais un service, souvent par utilisateur, par équipement ou par volume de demandes. C’est le modèle type de l’infogérance.

Onshore, nearshore, offshore : les modèles géographiques

Le troisième axe est le lieu d’où l’équipe travaille. Il pèse surtout sur le développement et la TMA, beaucoup moins sur le support de proximité, qui suppose des interventions sur site.

L’externalisation onshore

L’onshore consiste à travailler avec un prestataire installé en France. Vous partagez la langue, le fuseau horaire, le droit applicable et les codes de travail. Les réunions en présentiel sont faciles à organiser, et les données restent dans l’Union européenne sans formalité supplémentaire. C’est en général l’option la plus chère au jour, mais aussi celle qui demande le moins d’effort de coordination. Elle convient bien au cadrage, à la conception, aux projets très liés à votre métier et à tout ce qui demande des allers-retours fréquents avec les équipes internes.

L’externalisation nearshore : Union européenne et Maghreb (Pologne, Portugal, Maroc, Tunisie)

Le nearshore consiste à externaliser vers un pays proche, avec un décalage horaire faible ou nul. Pour une entreprise française, on distingue deux familles :

• Les pays de l’Union européenne, comme la Pologne, la Roumanie, le Portugal ou l’Espagne. Le RGPD s’y applique comme en France, ce qui simplifie la question des données. La Pologne vit à la même heure que la France ; la Roumanie a une heure d’avance toute l’année.
• Le Maghreb francophone, notamment le Maroc et la Tunisie. La langue commune est un atout. La Tunisie reste à l’heure UTC+1 toute l’année, sans heure d’été. Le Maroc a modifié plusieurs fois son heure légale ces dernières années : vérifiez le décalage exact avec Paris au moment de contractualiser. Ces pays sont hors de l’Union européenne, ce qui impose un encadrement des transferts de données personnelles.

Le nearshore permet de garder des réunions quotidiennes en direct (points d’équipe, revues de sprint) tout en élargissant le vivier de compétences. Il demande toutefois plus de rigueur qu’un prestataire local : documentation écrite, outils de suivi partagés, visites régulières.

L’externalisation offshore : Inde, Vietnam, Madagascar

L’offshore consiste à travailler avec une équipe éloignée, souvent sur un autre continent : Inde, Vietnam, Madagascar, par exemple. L’intérêt principal est le coût et la taille des équipes mobilisables. Les contraintes sont plus fortes :

• Le décalage horaire. L’Inde est à l’heure UTC+5:30 et le Vietnam à l’heure UTC+7, sans changement d’heure, alors que la France alterne entre UTC+1 et UTC+2. La fenêtre de travail commune se réduit à quelques heures, ce qui pousse à travailler en asynchrone.
• La distance culturelle et linguistique, qui rend les spécifications ambiguës plus coûteuses.
• Le cadre des données : aucun de ces pays ne figure parmi ceux reconnus comme offrant une protection adéquate par la Commission européenne (voir plus bas).

L’offshore réussit surtout aux entreprises qui savent déjà piloter des projets avec des spécifications détaillées et des tests automatisés. Pour identifier des prestataires, consultez notre sélection d’agences de développement web offshore.

Tableau comparatif onshore, nearshore, offshore

Le modèle hybride

Beaucoup de prestataires combinent les trois : un chef de projet et un architecte en France, proches de vous, et une équipe de production en nearshore ou en offshore. Ce modèle réduit le coût moyen tout en gardant un interlocuteur à portée de réunion. Il ne fonctionne que si la répartition des rôles est claire et si l’équipe distante a accès au contexte métier, pas seulement aux tickets.

Avantages de l’externalisation informatique

• Accès à des compétences rares. Un expert cloud, un spécialiste de la sécurité ou un développeur sur une technologie précise est difficile à recruter pour une mission de quelques mois. Un prestataire mutualise ces profils entre plusieurs clients.
• Flexibilité. Vous pouvez augmenter l’équipe pendant un projet, puis la réduire en phase de maintenance, sans recrutement ni licenciement.
• Coûts plus prévisibles. Un contrat de service transforme une partie des dépenses fixes (salaires, matériel, outils) en dépenses variables ou forfaitaires.
• Continuité de service. Un prestataire organisé gère les absences, les astreintes et la documentation, là où un informaticien unique en interne constitue un point de fragilité.
• Recentrage sur le cœur de métier. La direction passe moins de temps à gérer l’informatique et davantage à piloter les résultats attendus.

Inconvénients et risques de l’externalisation

• Dépendance au prestataire. Sans documentation ni clause de réversibilité, changer de prestataire devient long et coûteux.
• Perte de savoir-faire interne. Si plus personne en interne ne comprend le système, vous ne pouvez plus juger la qualité du travail ni les devis.
• Coûts cachés. Temps de pilotage interne, phase de transfert de connaissances, avenants, déplacements : un TJM bas ne garantit pas un projet moins cher.
• Risques sur les données. Accès distants, sous-traitants en cascade, transferts hors de l’Union européenne : chaque maillon doit être encadré par contrat.
• Qualité variable. Une rotation élevée des équipes chez le prestataire fait perdre la connaissance de votre projet à chaque départ.

Le coût d’une externalisation : raisonner en coût total

Le prix affiché, que ce soit un TJM ou un forfait mensuel, n’est qu’une partie du coût réel. Pour comparer deux offres, additionnez :

• le prix de la prestation elle-même (jours × TJM, forfait ou abonnement de service) ;
• les coûts de démarrage : transfert de connaissances, mise en place des accès et des environnements, phase de rodage ;
• le temps de pilotage interne : un chef de projet ou un responsable de contrat chez vous, d’autant plus nécessaire que l’équipe est éloignée ;
• les déplacements et les outils de collaboration ;
• le coût de sortie : récupération des données et du code, période de transition, reprise par un autre prestataire ou par une équipe interne.

Pour les prestations d’ESN, le budget se raisonne en jours-homme : le profil mobilisé multiplié par la durée. Notre page tarifs des ESN donne les ordres de grandeur par profil.

Obligations et clauses à prévoir dans le contrat

Quel que soit le type d’externalisation retenu, quelques règles s’imposent ou méritent d’être écrites noir sur blanc.

RGPD : le prestataire est votre sous-traitant (article 28)

Dès que le prestataire accède à des données personnelles (fichiers clients, comptes des salariés, messagerie), il agit comme « sous-traitant » au sens du RGPD (règlement (UE) 2016/679). L’article 28 impose de ne faire appel qu’à des sous-traitants « qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Il exige un contrat écrit qui définit l’objet, la durée, la nature et la finalité du traitement, et qui prévoit notamment que le prestataire :

• ne traite les données que sur instruction documentée de votre part, y compris pour les transferts vers un pays tiers ;
• garantit la confidentialité et la sécurité des données ;
• ne recrute pas un autre sous-traitant sans votre autorisation écrite préalable ;
• vous aide à répondre aux demandes des personnes concernées ;
• supprime ou vous renvoie les données en fin de prestation, à votre choix ;
• accepte les audits, y compris les inspections.

Transferts de données hors de l’Union européenne

Le choix du nearshore ou de l’offshore a une conséquence juridique directe. Selon l’article 44 du RGPD, un transfert de données personnelles vers un pays tiers n’est possible que si les conditions du chapitre V sont respectées. Deux cas principaux :

• le pays bénéficie d’une décision d’adéquation de la Commission européenne (article 45). Sont notamment reconnus le Royaume-Uni, la Suisse, le Japon, le Canada (organisations commerciales), le Brésil et les États-Unis pour les entreprises adhérentes au Data Privacy Framework ;
• à défaut, le responsable du traitement ou le sous-traitant doit prévoir des garanties appropriées (article 46), le plus souvent les clauses contractuelles types de la Commission.

L’Inde, le Vietnam, le Maroc, la Tunisie et Madagascar ne figurent pas dans la liste des pays reconnus par la Commission. Un prestataire installé dans ces pays qui accède à vos données personnelles doit donc être encadré par des garanties de l’article 46. Dans un pays membre de l’Union européenne, ce cadre de transfert n’est pas nécessaire.

Réversibilité : prévoir la sortie dès la signature

La réversibilité est la capacité à récupérer vos données, votre code et votre documentation pour changer de prestataire ou réinternaliser l’activité. Plusieurs textes en posent les bases :

• Le RGPD (article 28, paragraphe 3, point g) impose que le sous-traitant, « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services ».
• Le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, encadre le changement de fournisseur pour les services de traitement de données (cloud, hébergement). Le contrat doit prévoir un délai de préavis maximal qui « ne dépasse pas deux mois » pour lancer le changement, puis une période transitoire maximale de trente jours calendaires pendant laquelle le fournisseur assiste le client (article 25). À compter du 12 janvier 2027, ces fournisseurs ne peuvent plus facturer de frais de changement de fournisseur (article 29).
• Le règlement DORA (règlement (UE) 2022/2554), applicable depuis le 17 janvier 2025 au secteur financier, impose aux entités financières des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes.

En dehors de ces cadres, la réversibilité dépend entièrement de votre contrat. Précisez le format de restitution des données (ouvert et documenté), la liste des livrables (code source, scripts de déploiement, documentation, accès), la durée d’accompagnement en fin de contrat et son prix.

Propriété intellectuelle du code

Un point souvent mal compris : en droit français, l’attribution automatique des droits sur un logiciel joue au profit de l’employeur du développeur, pas du client. L’article L113-9 du Code de la propriété intellectuelle prévoit que les droits patrimoniaux sur les logiciels créés par des employés dans l’exercice de leurs fonctions « sont dévolus à l’employeur ». Le code écrit par les salariés d’un prestataire appartient donc, par défaut, au prestataire. Pour en devenir titulaire, il faut une cession écrite. L’article L131-3 exige que chacun des droits cédés fasse l’objet d’une mention distincte et que leur domaine d’exploitation soit délimité « quant à son étendue et à sa destination, quant au lieu et quant à la durée ». Une clause vague du type « le code appartient au client » ne suffit pas.

NIS2 : un texte européen pas encore transposé en France

La directive (UE) 2022/2555, dite NIS2, élargit les obligations de cybersécurité à de nombreuses « entités essentielles et importantes ». Parmi les mesures qu’elle prévoit figure « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Les prestataires informatiques de ces entités sont donc directement concernés par les exigences de leurs clients.

La directive fixait aux États membres la date du 17 octobre 2024 pour la transposer. En France, ce n’est pas fait à ce jour. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l’Assemblée nationale le 10 septembre 2025, sans adoption définitive à la date du 8 octobre 2026. L’ANSSI indique que « la transposition de la directive NIS 2 en France est en cours » et invite les futures entités concernées à se préparer dès maintenant. Elle met à disposition un test en ligne pour savoir si votre organisation est concernée.

Quel type d’externalisation choisir pour votre entreprise ?

Il n’existe pas de modèle meilleur dans l’absolu. Le bon choix combine un périmètre, un contrat et une localisation adaptés à votre situation.

Grille de décision

Les étapes d’un projet d’externalisation

1. Faire l’inventaire de l’existant : applications, serveurs, contrats en cours, personnes qui détiennent le savoir-faire, données personnelles concernées.
2. Définir le périmètre et les objectifs : ce qui part chez le prestataire, ce qui reste en interne, les indicateurs qui diront si le service est bien rendu.
3. Rédiger le cahier des charges : besoins fonctionnels, niveaux de service attendus, exigences de sécurité, outils de travail, horaires de disponibilité.
4. Consulter plusieurs prestataires et comparer la méthode, les équipes réellement affectées et les références, pas seulement le prix.
5. Négocier le contrat : SLA, pénalités, clauses RGPD, transferts de données, propriété intellectuelle, réversibilité.
6. Organiser le démarrage : transfert de connaissances, accès, documentation, premier comité de pilotage.
7. Piloter dans la durée : revues régulières des indicateurs, plan d’amélioration, revue annuelle du contrat.

Communication avec l’ESN : organiser le pilotage

La réussite d’une externalisation dépend moins du contrat que de la communication avec l’ESN ou l’infogérant au quotidien. Nommez un interlocuteur unique de chaque côté. Fixez un rythme de points (hebdomadaire en phase de projet, mensuel en phase de service) et un comité de pilotage qui examine les indicateurs. Partagez les mêmes outils de suivi des demandes. Avec une équipe nearshore ou offshore, écrivez davantage : les décisions prises en réunion doivent être consignées, sinon elles se perdent d’un fuseau horaire à l’autre.

Questions à poser aux prestataires

• Qui travaillera concrètement sur notre projet, et pouvons-nous les rencontrer avant de signer ?
• Quel est votre taux de rotation des équipes, et comment assurez-vous la continuité en cas de départ ?
• Faites-vous appel à des sous-traitants, et dans quels pays les données seront-elles accessibles ?
• Quels sont vos engagements de service et que se passe-t-il s’ils ne sont pas tenus ?
• Comment se déroule la fin de contrat : quels livrables, dans quel format, à quel prix ?

Les erreurs fréquentes en externalisation

Choisir sur le seul taux journalier

Un TJM bas peut cacher une productivité plus faible, une rotation élevée ou un pilotage qui retombe sur vos équipes. Comparez le coût total et la méthode.

Le syndrome de la boîte noire

Envoyer des spécifications puis attendre la livraison finale plusieurs mois plus tard est le plus sûr moyen d’être déçu. Exigez des livraisons intermédiaires et un accès permanent à l’avancement.

Négliger la documentation

En interne, l’information circule de manière informelle. Avec une équipe externe, ce qui n’est pas écrit n’existe pas. L’absence de documentation à jour ralentit le démarrage et rend la réversibilité presque impossible.

Oublier la sortie

Un contrat sans clause de réversibilité ni cession de droits sur le code vous lie au prestataire. Ces clauses se négocient à la signature, quand vous avez encore le choix.

IA et assistants de code : ce qui change pour l’externalisation

Les assistants de programmation comme GitHub Copilot sont désormais courants dans les équipes de développement, internes comme externes. Ils peuvent accélérer certaines tâches, mais ils posent des questions nouvelles à régler dans le contrat : quels outils le prestataire est autorisé à utiliser, si votre code ou vos données peuvent être envoyés à un service tiers, et qui répond de la qualité et de la sécurité du code produit. Demandez au prestataire sa politique d’usage de l’IA et intégrez-la à vos exigences de sécurité.

FAQ : questions fréquentes sur l’externalisation informatique

Qu’est-ce que l’externalisation en informatique ?

C’est le fait de confier à un prestataire extérieur tout ou partie des ressources informatiques de l’entreprise : parc et support, hébergement, développement, maintenance des applications ou sécurité. On parle aussi d’infogérance ou d’outsourcing.

Quels sont les deux types d’externalisation ?

On distingue généralement l’externalisation totale, où le prestataire gère l’ensemble du système d’information, et l’externalisation partielle, limitée à une fonction précise. Pour choisir, il faut aussi trancher le modèle contractuel (régie, forfait, centre de services) et la localisation (onshore, nearshore, offshore).

Quelle est la différence entre onshore, nearshore et offshore ?

L’onshore désigne un prestataire installé dans le même pays que vous. Le nearshore désigne un pays proche, avec un décalage horaire faible ou nul, comme la Pologne, le Portugal, le Maroc ou la Tunisie pour une entreprise française. L’offshore désigne un pays lointain, comme l’Inde ou le Vietnam, avec plusieurs heures de décalage et des coûts au jour plus bas.

Quelle est la différence entre sous-traitance et externalisation ?

L’externalisation est la décision de confier une activité à un tiers. La sous-traitance, au sens de la loi du 31 décembre 1975, est le fait pour un prestataire de confier à son tour à un autre l’exécution de tout ou partie du contrat passé avec son client. Le RGPD utilise aussi le mot « sous-traitant » pour le prestataire qui traite des données personnelles pour votre compte.

Quels sont les avantages et les inconvénients de l’externalisation informatique ?

Les avantages sont l’accès à des compétences rares, la flexibilité des équipes, des coûts plus prévisibles et la continuité de service. Les inconvénients sont la dépendance au prestataire, la perte de savoir-faire interne, des coûts cachés de pilotage et de démarrage, et des risques sur les données si le contrat est mal encadré.

Quels sont les risques liés à l’externalisation ?

Les principaux risques sont l’enfermement chez un prestataire faute de réversibilité, la fuite ou le transfert non encadré de données personnelles, la perte de la propriété du code faute de cession écrite, et une qualité dégradée par la rotation des équipes. Un contrat précis et un pilotage régulier les réduisent fortement.

Faut-il un contrat particulier pour respecter le RGPD ?

Oui. Dès que le prestataire traite des données personnelles pour votre compte, l’article 28 du RGPD impose un contrat écrit qui fixe notamment les instructions, la confidentialité, la sécurité, l’encadrement des sous-traitants ultérieurs, les audits et le sort des données en fin de contrat. Si les données sont accessibles depuis un pays hors de l’Union européenne sans décision d’adéquation, il faut en plus des garanties appropriées, comme les clauses contractuelles types.

NIS2 s’applique-t-elle déjà en France ?

Pas encore. La directive devait être transposée au plus tard le 17 octobre 2024, mais le projet de loi français n’était pas définitivement adopté au 8 octobre 2026. L’ANSSI recommande aux futures entités essentielles et importantes de se préparer dès maintenant, notamment sur la sécurité de leurs relations avec leurs prestataires.

Lequel choisir ? Notre recommandation

L’externalisation informatique n’est pas un choix unique mais une combinaison : un périmètre clairement délimité, un modèle contractuel qui répartit les risques de façon explicite, et une localisation compatible avec votre capacité de pilotage et vos contraintes sur les données. Chez La Fabrique du Net, nous recommandons de commencer par un périmètre limité et mesurable, de négocier dès la signature la réversibilité, la cession des droits sur le code et les clauses RGPD, et de ne passer au nearshore ou à l’offshore qu’une fois le pilotage rodé.

Pour trouver un partenaire, comparez les ESN et SSII du marché et confrontez au moins trois propositions sur la base du même cahier des charges.