En 2025, l'INCIBE (Institut National de Cybersécurité d'Espagne) a géré 122 223 incidents de cybersécurité, soit 26 % de plus que l'année précédente, selon le Bilan de Cybersécurité 2025 publié par l'organisme en février 2026. Dans ce contexte, savoir choisir un prestataire de cybersécurité n'est plus une décision technique que l'on délègue au service informatique : c'est une décision d'entreprise avec un impact direct sur la continuité opérationnelle, la réputation et la conformité légale de la société. Se tromper de fournisseur ne signifie pas seulement surpayer ; cela signifie découvrir, en plein incident, que celui qui était censé vous défendre n'était pas en mesure de le faire.
Cet article est un guide pratique destiné aux responsables technologiques, aux directions générales et aux équipes achats qui doivent évaluer et sélectionner un partenaire de sécurité en Espagne. Nous n'allons pas parler de marketing ni de promesses : nous allons parler de certifications vérifiables, de critères d'évaluation objectifs, du cadre normatif qui conditionne la décision et des signaux d'alarme qui doivent vous conduire à écarter un candidat avant de signer quoi que ce soit.
Pourquoi le choix d'un prestataire de cybersécurité est désormais une décision d'entreprise
Pendant des années, externaliser la sécurité informatique ressemblait à acheter un antivirus : une dépense technique, presque de maintenance, que l'on réglait avec l'offre la moins chère. Cette époque est révolue. Les données de l'INCIBE décrivent un environnement dans lequel la menace est massive et systématique, non anecdotique.
Dans le Bilan de Cybersécurité 2025, les logiciels malveillants ont été la principale catégorie d'incidents avec 55 411 cas, suivis par la fraude en ligne avec 45 445 cas, dont le phishing fut la technique dominante avec 25 133 incidents enregistrés. Le service d'assistance gratuit « Tu Ayuda en Ciberseguridad » (ligne 017) a traité 142 767 demandes au cours de l'année, soit 44,9 % de plus qu'en 2024. Non seulement les attaques sont plus nombreuses : de plus en plus d'entreprises et de particuliers en sont victimes et nécessitent une aide urgente.
Ce qui est pertinent pour le décideur, c'est l'asymétrie. Un attaquant n'a besoin de réussir qu'une seule fois ; votre prestataire doit réussir en permanence. Lorsque l'INCIBE-CERT a détecté et signalé 237 028 systèmes vulnérables pertinents susceptibles d'être exploités durant 2025, il décrivait la surface d'exposition réelle des organisations espagnoles. Si votre partenaire de sécurité n'est pas capable de découvrir, de prioriser et de corriger les vulnérabilités à cette échelle, votre contrat ne vaut rien.
À cela s'ajoute une bonne nouvelle : il y a le choix. Selon l'Étude sur l'Industrie de la Cybersécurité en Espagne 2025, élaborée par l'INCIBE et CONETIC et présentée en mars 2026, l'Espagne compte 3 431 entreprises de cybersécurité — soit 4,47 % des sociétés technologiques du pays —, un secteur qui a réalisé un chiffre d'affaires de 6,351 milliards d'euros en 2024 et emploie environ 165 000 professionnels, représentant 25,5 % de l'emploi TIC espagnol. L'Espagne est par ailleurs le quatrième marché européen de la cybersécurité, avec 12 % du chiffre d'affaires continental, et le secteur prévoit une croissance annuelle moyenne de 14,25 % entre 2026 et 2029.
La conclusion est inconfortable : l'offre est énorme et hétérogène. On y trouve des grands intégrateurs, des cabinets de conseil de niche et des revendeurs qui n'apportent guère de valeur ajoutée. Avoir 3 431 fournisseurs au choix ne facilite pas la décision — elle la complique. C'est pourquoi vous avez besoin d'une méthode.
Quelles certifications une entreprise de cybersécurité fiable doit-elle posséder (ENS, ISO 27001, ENAC) ?
Le premier filtre pour écarter des candidats est objectif et vérifiable : les certifications. Ce ne sont pas de simples labels décoratifs, mais la preuve qu'un tiers indépendant a audité les processus du prestataire. En Espagne, trois références concentrent l'essentiel des discussions sérieuses.
ISO/IEC 27001 : le standard de management de la sécurité
La certification ISO/IEC 27001:2022 atteste que l'entreprise exploite un Système de Management de la Sécurité de l'Information (SMSI) — pas seulement qu'elle utilise de bons outils. La version en vigueur de 2022 intègre 93 contrôles de l'Annexe A organisés en quatre domaines (organisationnel, personnes, physique et technologique). En Espagne, elle est délivrée par un organisme de certification accrédité par l'ENAC (Entidad Nacional de Acreditación) conformément à la norme ISO/IEC 17021-1, dans le cadre opéré par des organismes tels qu'AENOR.
Deux points que beaucoup d'acheteurs négligent :
- La certification se renouvelle tous les trois ans et exige des audits de surveillance annuels. Une entreprise qui vous présente un certificat vieux de quatre ans sans audit intermédiaire n'est pas réellement certifiée.
- Ce qui importe, ce n'est pas seulement que le prestataire soit certifié, mais le périmètre déclaré dans son certificat. Une ISO 27001 dont le périmètre couvre uniquement « l'administration interne » ne couvre pas le service qui vous sera rendu.
Si votre organisation souhaite obtenir cette certification — ou exiger ce niveau de maturité à votre prestataire — il est utile de bien comprendre ce qu'implique le processus. Chez Technova, nous l'abordons dans notre service d'implantation et certification ISO 27001, en accompagnant nos clients de l'analyse des écarts jusqu'à l'audit final.
Schéma National de Sécurité (ENS) : obligatoire pour les marchés publics
Le Décret Royal 311/2022, du 3 mai, réglemente l'Esquema Nacional de Seguridad (ENS). Sa lecture est indispensable si votre entreprise fournit — ou souhaite fournir — des services à l'Administration publique espagnole, car dans ce cas le respect de l'ENS n'est plus optionnel.
Le décret établit trois catégories de sécurité aux exigences distinctes :
| Catégorie ENS | Mode d'accréditation | Quand s'applique-t-elle |
|---|---|---|
| Basique | Déclaration de conformité par auto-évaluation | Systèmes à faible impact |
| Moyenne | Certification formelle par organisme accrédité ENAC | Impact appréciable sur les services ou les données |
| Haute | Certification formelle par organisme accrédité ENAC | Impact très grave ; services essentiels |
La distinction est cruciale lors de l'évaluation des prestataires : une déclaration de conformité par auto-évaluation (catégorie basique) n'équivaut pas à une certification auditée par un tiers (catégories moyenne et haute). Si un prestataire vous dit qu'il « respecte l'ENS » sans préciser la catégorie ni l'identité de l'organisme certificateur, posez la question. La différence entre une auto-évaluation et une certification par un organisme accrédité par l'ENAC est considérable.
Le rôle de l'ENAC comme garant
Tant pour l'ISO 27001 que pour l'ENS de catégories moyenne et haute, le nom qui confère une crédibilité réelle est celui de l'ENAC. L'accréditation ENAC garantit que l'organisme certificateur est compétent et impartial. Un certificat délivré par un organisme non accrédité a une valeur commerciale bien moindre. Vérifiez toujours que derrière le label se trouve un organisme accrédité par l'ENAC — et non un simple logo.
Critères d'évaluation : SOC/MDR 24h/7j, expérience sectorielle et références vérifiables
Une fois le filtre des certifications franchi, on entre dans ce qui distingue un prestataire qui défend réellement de celui qui se contente de facturer. Vous évaluez ici des capacités opérationnelles concrètes.
Détection et réponse en continu : SOC et MDR 24h/7j
Les attaques ne respectent pas vos horaires de travail. Beaucoup sont délibérément lancées le vendredi soir, les jours fériés ou en août, lorsque les équipes internes sont au minimum. C'est pourquoi la capacité de détection et réponse 24h/7j est aujourd'hui le critère qui différencie le plus les prestataires sérieux des autres.
Il convient de bien distinguer les concepts :
- SOC (Security Operations Center) : le centre d'opérations qui surveille en continu, corrèle les événements et détecte les menaces.
- MDR (Managed Detection and Response) : le service géré qui ne se contente pas de détecter, mais qui répond et contient l'incident en votre nom, avec des délais garantis contractuellement.
La question clé n'est pas « Avez-vous un SOC ? », mais « Que faites-vous à 3 heures du matin un dimanche quand une alerte critique se déclenche ? ». Un prestataire mature répond avec des délais de détection et de confinement engagés par contrat (SLA), et non avec de bonnes intentions. Pour approfondir le fonctionnement d'un tel service, nous le décrivons sur notre page de SOC et MDR géré 24h/7j.
Expérience sectorielle et alignement NIS2
Un prestataire ayant défendu des entreprises de votre secteur connaît vos menaces spécifiques : protéger une industrie disposant de systèmes OT n'est pas la même chose que sécuriser un établissement financier ou un opérateur de services essentiels. Cette expérience se démontre avec des cas concrets, pas avec des formules génériques.
Les données de l'INCIBE renforcent l'importance de ce point : en 2025, l'INCIBE-CERT a traité 401 incidents dans le périmètre des opérateurs essentiels et importants, dans le cadre de la Directive NIS2. Si votre entreprise appartient à l'un des secteurs concernés, vous avez besoin d'un partenaire qui opère déjà dans cette logique réglementaire — pas d'un prestataire qui la découvrirait avec vous.
Références vérifiables, pas des témoignages de brochure
Demandez des références et, surtout, vérifiez-les. Ne vous contentez pas de logos sur un site web. Demandez à parler avec un vrai client ayant un profil similaire au vôtre, interrogez-le sur la réactivité du prestataire lors d'un incident réel, et constatez la durée de la relation. Un prestataire qui renouvelle sa clientèle chaque année a un problème qui deviendra tôt ou tard le vôtre.
En résumé, voici les critères d'évaluation que nous recommandons de scorer :
| Critère | Ce que vous vérifiez | Pourquoi c'est important |
|---|---|---|
| Couverture 24h/7j | SOC/MDR avec SLA de détection et réponse | Les attaques n'ont pas d'horaires |
| Certifications | ISO 27001 en vigueur et ENS (si applicable), via ENAC | Preuve de processus audités |
| Expérience sectorielle | Cas dans votre industrie et sous NIS2 si applicable | Menaces spécifiques, non génériques |
| Références | Clients vérifiables au profil similaire | Preuves concrètes, pas du marketing |
| Transparence | SLA, escalade et rapports par écrit | Définit ce qui se passe en cas d'incident |
| Équipe | Profils et rotation du personnel technique | La sécurité est l'affaire de personnes |
NIS2 et ENS : comment le cadre réglementaire conditionne le choix de votre prestataire
Il y a un point que beaucoup d'entreprises découvrent trop tard : la réglementation ne vous oblige pas seulement vous — elle conditionne aussi quels prestataires sont valides.
La Directive NIS2 de l'Union européenne étend considérablement le nombre de secteurs et d'entités soumis aux exigences de cybersécurité, en les classifiant en entités « essentielles » et « importantes ». Le délai communautaire pour sa transposition a expiré le 17 octobre 2024 sans que l'Espagne ait complété sa loi de transposition. Pour combler ce vide, le Conseil des ministres a approuvé en janvier 2025 l'Avant-projet de Loi de Coordination et de Gouvernance de la Cybersécurité, comme l'ont rapporté le Département de Sécurité Nationale (DSN) et des cabinets d'avocats tels qu'ECIJA, ainsi que des associations comme l'ASEPEC.
Cet avant-projet a des conséquences directes sur la sélection du prestataire : il obligera les entités essentielles à disposer d'une certification, et les entités importantes à se certifier ou à réaliser une auto-évaluation. En d'autres termes, si votre entreprise relève du périmètre NIS2, vous ne pourrez pas externaliser votre sécurité auprès d'un prestataire incapable de démontrer le niveau de maturité que la loi vous imposera.
L'articulation avec l'ENS est également pertinente. Si vous travaillez avec l'Administration et gérez des systèmes de catégorie moyenne ou haute, nous avons vu que le Décret Royal 311/2022 exige une certification par un organisme accrédité ENAC. En combinant les deux cadres, le message pour l'acheteur est clair : assurez-vous que la maturité certifiable de votre prestataire est égale ou supérieure à celle que la réglementation vous impose. Contracter avec un prestataire en deçà de votre propre niveau de conformité transfère le risque juridique à votre organisation.
Pour une vision globale sur la façon d'articuler conformité, détection et réponse dans une stratégie cohérente, vous pouvez consulter notre approche complète des services de cybersécurité pour entreprises.
Questions clés à poser avant de signer le contrat
Une bonne réunion commerciale sur la cybersécurité devrait légèrement mettre le prestataire en difficulté : si toutes les réponses sont faciles, c'est que vous ne posez pas les bonnes questions. Voici celles qui révèlent le mieux la maturité réelle d'un candidat.
- Quelles certifications êtes-vous en mesure de présenter et quel est leur périmètre exact ? Demandez le certificat, la date du dernier audit de surveillance et l'organisme accrédité ENAC qui l'a délivré.
- Comment est organisé votre SOC et quels SLA de détection et de réponse signez-vous ? L'engagement sur les délais doit figurer par écrit dans le contrat, pas seulement dans la proposition commerciale.
- Que se passe-t-il exactement quand vous détectez un incident grave en dehors des heures ouvrables ? Demandez la procédure d'escalade et précisez qui prend les décisions à 3 heures du matin.
- Qui compose l'équipe qui gérera mon compte et quel est son taux de rotation ? La sécurité est l'affaire de personnes ; savoir qui elles sont et si elles restent compte énormément.
- Pouvez-vous me fournir une référence vérifiable d'un client de mon secteur ? Et, ensuite, appelez-la.
- Comment m'aidez-vous à respecter NIS2 et/ou l'ENS selon ma situation ? Une réponse précise prouve qu'ils connaissent votre cadre réglementaire.
- Quels rapports vais-je recevoir, à quelle fréquence et sous quel format ? La visibilité en continu fait partie du service, ce n'est pas un supplément.
- Que devient à la fin du contrat la propriété de mes données, logs et configurations ? La portabilité et la sortie ordonnée doivent être convenues dès le début.
Si un prestataire répond à ces huit questions avec précision et par écrit, vous avez affaire à un candidat sérieux. S'il répond avec des généralités, du marketing ou des faux-fuyants, vous avez déjà une information précieuse.
Signaux d'alarme : quand écarter un prestataire de cybersécurité
Savoir ce que l'on cherche est aussi important que savoir ce qui doit vous faire fuir. Voici les signaux d'alarme les plus révélateurs que nous observons lorsque nous auditons des contrats de sécurité.
- Certifications imprécises ou périmées. « Nous sommes en cours de certification » répété depuis des années, des certificats sans audit de surveillance ou des labels d'organismes non accrédités par l'ENAC.
- Promesses de sécurité totale. Aucun prestataire sérieux ne garantit une protection à 100 %. Celui qui promet que « vous ne subirez jamais d'attaque » ne comprend pas le problème — ou vous trompe.
- Absence de SLA par écrit. Si les délais de détection et de réponse ne figurent pas dans le contrat, ils n'existent pas. Les bonnes intentions ne s'invoquent pas devant un tribunal.
- Opacité sur l'équipe et la sous-traitance. Si le prestataire refuse de vous dire qui opérera votre sécurité ou s'il sous-traite le SOC à un tiers, partez du pire.
- Le prix comme seul argument. En cybersécurité, le bon marché signifie souvent une surveillance automatisée sans analyste derrière. L'économie s'évapore dès le premier incident réel.
- Absence de références vérifiables. Des logos sur un site web, mais aucun client à qui vous puissiez parler. Le silence est une réponse.
- Méconnaissance du cadre réglementaire. Un prestataire incapable de vous expliquer comment NIS2 ou l'ENS le concernent ne pourra pas vous aider à les respecter.
Chacun de ces signaux, pris isolément, justifie une conversation difficile. Deux ou plus réunis justifient d'écarter le candidat.
Conclusion : faites du choix un processus, pas une intuition
Avec 122 223 incidents gérés par l'INCIBE en 2025 et plus de 3 400 prestataires en concurrence sur le marché espagnol, choisir une entreprise de cybersécurité ne peut pas reposer sur une bonne réunion commerciale ou sur le prix le plus bas. La bonne décision naît d'une méthode : filtrer par certifications vérifiables (ISO 27001 et ENS via ENAC), évaluer les capacités opérationnelles réelles (SOC/MDR 24h/7j, expérience sectorielle et références contrôlées), aligner la maturité du prestataire avec vos obligations sous NIS2 et l'ENS, et poser les questions qui séparent celui qui défend de celui qui se contente de facturer.
Si vous amorcez ce processus et souhaitez disposer d'une base de travail, téléchargez notre checklist de préparation à l'ISO 27001 : elle vous aidera à mesurer votre propre maturité avant de l'exiger à un tiers. Et si vous préférez que nous vous accompagnions pour évaluer, contracter ou auditer votre partenaire de sécurité, contactez l'équipe Technova Partners : nous vous aiderons à transformer une décision risquée en une décision éclairée.
