Choisir une société de cybersécurité en Belgique : ce qu'il faut savoir.

Les types d'acteurs sur le marché belge

Le marché belge de la cybersécurité regroupe plusieurs catégories d'acteurs aux propositions de valeur très différentes.

Les Big 4 et grands cabinets de conseil (KPMG, Deloitte, PwC, EY, NTT, Capgemini) interviennent principalement sur les grandes entreprises et le secteur public. Leur force : la couverture large, la marque reconnue, l'écosystème pluridisciplinaire (juridique, financier, IT). Leur faiblesse : tarifs élevés, équipes parfois junior sur le terrain, prestations standardisées.

Les MSSP et intégrateurs (Proximus NXT, Orange Cyberdefense, Telenet, NRB, Cegeka) proposent principalement des services managés (SOC, EDR, SIEM) et de l'intégration de solutions. Leur force : plateformes industrialisées, large catalogue. Leur faiblesse : conflit d'intérêt potentiel entre conseil et revente, dépendance à leurs partenaires éditeurs.

Les sociétés de cybersécurité indépendantes (Approach, NVISO, Davinsi Labs, EuroShield et d'autres) sont des structures spécialisées de 10 à 200 personnes, focalisées sur la cybersécurité. Leur force : expertise pointue, indépendance commerciale, agilité. Leur faiblesse : couverture sectorielle parfois limitée, capacité de delivery sur très grandes missions.

Les freelances et micro-structures sont nombreux et peuvent être pertinents pour des missions ponctuelles. Attention au manque de robustesse contractuelle, à la difficulté de couverture continue (vacances, maladie) et à l'absence souvent d'assurance professionnelle.

Les sept critères qui comptent vraiment

Au-delà des plaquettes commerciales, sept critères discriminants permettent d'évaluer un prestataire.

• Certifications individuelles des consultants : CISSP, CISM, ISO 27001 Lead Auditor, OSCP, OSWE, GCIH. Demandez les CV anonymisés, pas la liste générique.
• Référentiels suivis : un prestataire sérieux nomme ses méthodes (OWASP, PTES, NIST CSF, MITRE ATT&CK, ISO 27005). Un prestataire vague est suspect.
• Indépendance commerciale : si le cabinet revend des solutions, il y a conflit d'intérêt sur les recommandations. Les meilleurs cabinets séparent strictement conseil et intégration, ou ne font que du conseil.
• Souveraineté des données : où sont hébergées les données de vos audits ? Quelle juridiction applicable ? Les meilleurs cabinets hébergent en UE et chiffrent les rapports.
• Continuité contractuelle : engagements sur la continuité des consultants, backup en cas d'absence, indemnités en cas de turn-over imprévu.
• Références sectorielles : demandez 3 à 5 références dans votre secteur d'activité, pas une liste générique. Un prestataire qui ne peut pas en fournir n'a probablement pas l'expérience.
• Assurance professionnelle : RC professionnelle dédiée cyber, idéalement à hauteur d'au moins 5 millions d'euros pour les missions sur SI critiques.

Les signaux faibles qui doivent alerter

Quelques signaux faibles, faciles à détecter, distinguent les prestataires sérieux des autres.

Les rapports types : demandez à voir un exemple de rapport (anonymisé). Un rapport pauvre, générique, sans recommandations chiffrées et priorisées révèle une prestation faible. À l'inverse, un rapport dense, structuré, avec annexes techniques solides révèle de la rigueur.

La capacité à dire non : un bon prestataire vous dit quand votre demande n'est pas adaptée à votre besoin réel. Un prestataire qui dit toujours oui est focalisé sur la vente.

La méthode de chiffrage : un chiffrage au forfait après cadrage est sain. Une facturation à la vulnérabilité ou au temps passé sans plafond est suspecte.

La gestion des données : si le prestataire ne sait pas vous expliquer où sont stockés vos rapports, comment ils sont chiffrés, qui y accède : c'est mauvais signe.

Les questions posées : un bon prestataire pose beaucoup de questions sur votre contexte. Un prestataire qui parle de lui-même pendant tout le premier rendez-vous n'est pas en train de vous écouter.

Les questions à poser avant de signer

Avant de signer un contrat avec une société de cybersécurité, posez systématiquement les dix questions suivantes.

• Qui sera concrètement consultant assigné à ma mission ? Puis-je voir son CV ?
• Quelle est l'expérience de votre cabinet dans mon secteur précis ?
• Quel référentiel méthodologique utiliserez-vous ? Pourquoi celui-ci ?
• Avez-vous des partenariats commerciaux avec des éditeurs de solutions ?
• Où seront stockés mes données et rapports d'audit ?
• Que se passe-t-il si je ne suis pas satisfait du livrable ?
• Quelle est votre RC professionnelle ? Pour quel montant ?
• Pouvez-vous fournir 3 références récentes dans mon secteur ?
• Comment gérez-vous le départ ou l'indisponibilité d'un consultant en cours de mission ?
• Quelle est votre politique en cas d'incident chez vous (compromission de vos systèmes) ?