Acheter un switch d'occasion quand on prépare NIS2 inquiète souvent les équipes informatiques. Pourtant, aucun texte ne vise le matériel d'occasion. Ce que le référentiel de l'ANSSI demande, c'est que vos équipements tournent sur une version logicielle encore maintenue par le fabricant. Pour un switch Cisco reconditionné, la vraie question n'est donc pas « neuf ou occasion ? », mais « jusqu'à quand Cisco publie-t-il des correctifs de sécurité pour ce modèle et pour cette version ? ».
Où en est NIS2 en France
La directive NIS2 devait être transposée avant octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques a été adopté par le Sénat le 12 mars 2025, puis retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026. En juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition.
Au 29 octobre 2026, les obligations ne sont donc pas encore en vigueur. L'ANSSI a toutefois ouvert le pré-enregistrement des entités et publié son référentiel de travail, le ReCyF. Il donne une idée précise de ce qui sera demandé. Sont concernées, dans 18 secteurs, les entités importantes (à partir de 50 salariés, ou 10 millions d'euros de chiffre d'affaires et de bilan) et les entités essentielles (à partir de 250 salariés, ou 50 millions d'euros de chiffre d'affaires et 43 millions de bilan).
Ce que dit le référentiel de l'ANSSI
Trois exigences du ReCyF (version 2.5 du 17 mars 2026, objectif 5) concernent directement un switch, qu'il soit neuf ou reconditionné :
- 5.B.7 : maintenir les logiciels, « y compris les logiciels embarqués, dans des versions bénéficiant d'un support par leurs fournisseurs ou leurs fabricants et comportant les mises à jour de sécurité ».
- 5.B.8 : vérifier que toute nouvelle version « est téléchargée depuis les ressources officielles mises à disposition par les éditeurs ou les fournisseurs ».
- 5.B.9 : si une version supportée ne peut pas être installée, mettre en œuvre « des mesures pour réduire les risques liés à l'utilisation d'une version obsolète », par exemple l'isoler du reste du système d'information.
Le ReCyF ne dit rien de l'origine du matériel. Le guide d'hygiène informatique de l'ANSSI va dans le même sens : choisir des solutions « dont le support est assuré pour une durée correspondant à leur utilisation » et isoler les composants qui ne sont plus supportés par leur fabricant. Un switch reconditionné encore maintenu par Cisco répond aux mêmes exigences qu'un switch neuf.
Les trois dates de fin de vie chez Cisco
Quand Cisco arrête un modèle, il publie un avis de fin de vie avec plusieurs dates. Trois comptent pour la sécurité :
| Date | Ce qu'elle signifie |
|---|---|
| End of Sale | Dernier jour pour commander le produit neuf chez Cisco. |
| End of Vulnerability/Security Support | Dernier jour où Cisco peut publier un correctif pour une faille de sécurité. |
| Last Date of Support | Fin de tout support. Après cette date, Cisco n'analyse plus les failles et ne publie plus de CVE pour le produit. |
La politique de fin de vie de Cisco prévoit cinq ans de support matériel après la fin de vente. Un modèle encore vendu neuf aujourd'hui a donc au moins cinq ans de support devant lui.
Où en sont les modèles que nous vendons
| Modèle | Statut chez Cisco au 29/10/2026 |
|---|---|
| Catalyst 9200L (C9200L-48P-4X-E, C9200L-48P-4G-E, kit d'empilage) | Aucune fin de vie annoncée. Les deux switchs figurent dans les notes de version d'IOS XE 26.2.1, publiée le 28 septembre 2026. |
| Catalyst 9600 (C9606R, SUP-1, cartes LC-48YL, LC-24C et LC-48TX, alimentation 2 kW) | Aucune fin de vie annoncée. |
| Meraki MG41 | Aucune fin de vie annoncée. |
| Serveurs UCS C220 et C240 M6 (compatibles avec le UCS-SCAP-M6) | Fin de vente le 29 septembre 2025, correctifs de sécurité jusqu'au 30 septembre 2030. Depuis le 29 septembre 2026, Cisco n'accepte plus de nouveau contrat de support sur ces serveurs. |
La version d'IOS XE compte autant que le matériel
Un switch encore supporté peut tourner sur une version d'IOS XE qui ne l'est plus. Les versions ont leurs propres dates de fin de vie :
| Version | Fin des correctifs de sécurité |
|---|---|
| IOS XE 17.12 | 30 septembre 2027 |
| IOS XE 17.15 | 30 septembre 2028 |
| IOS XE 17.18 et 26.x | Pas encore de date publiée |
En septembre 2026, Cisco recommande les versions 17.18.4 et 17.15.6 pour toute la gamme Catalyst 9200, C9200L compris. Toutes les versions 16.x ont fait l'objet d'un avis de fin de vie. La commande show version affiche la version installée : c'est la première chose à demander à un vendeur.
Les mises à jour sans contrat Cisco
C'est le point que les vendeurs d'occasion abordent rarement. Le téléchargement des versions d'IOS XE se fait normalement avec un contrat de support Cisco. Sans contrat, la politique de sécurité de Cisco prévoit des mises à jour gratuites au cas par cas, en général pour les failles critiques et élevées. On les obtient en contactant le support Cisco (TAC) avec le numéro de série et la référence de l'avis de sécurité.
Pour placer un équipement d'occasion sous contrat Cisco, il faut passer par le programme d'inspection et de relicence de Cisco. L'inspection est facturée par châssis, et la relicence est soumise à l'accord écrit de Cisco et à des frais indiqués sur devis. Cisco précise aussi que sa garantie standard ne couvre que l'acheteur d'origine : sur du matériel reconditionné, c'est la garantie du revendeur qui s'applique.
En pratique, pour un parc de quelques switchs d'accès, beaucoup d'entreprises se contentent des correctifs gratuits pour les failles critiques, d'une version recommandée installée à la livraison et d'une veille sur les avis de sécurité Cisco. Pour un cœur de réseau, un contrat Cisco ou une maintenance tierce mérite d'être chiffré.
Ce qu'un auditeur vous demandera
- Un inventaire avec, pour chaque équipement, le modèle, le numéro de série, la version installée et la date de fin des correctifs de sécurité.
- La preuve que les images logicielles viennent de Cisco et ont été vérifiées avant installation.
- Pour tout équipement hors support, les mesures prises : isolement, filtrage, remplacement prévu.
- Les factures et garanties de vos fournisseurs, y compris pour le matériel reconditionné.
Pour vérifier une image avant de l'installer, comparez son empreinte MD5 avec celle publiée par Cisco sur sa page de téléchargement :
show version
verify /md5 flash:nom-de-l-image.binEt le Cyber Resilience Act ?
Le règlement européen sur la cyber-résilience s'appliquera pleinement le 11 décembre 2027. Il ne vise les produits mis sur le marché européen avant cette date que s'ils subissent une modification substantielle. Selon les lignes directrices publiées par la Commission en juillet 2026, la remise en état, l'entretien et la réparation ne constituent généralement pas une modification substantielle. Un switch Cisco remis en configuration d'usine, testé et mis à jour avec une version officielle reste donc dans ce cas.
En résumé
- NIS2 ne vous interdit pas le reconditionné : il vous demande des équipements maintenus.
- Vérifiez la date de fin de support du modèle, puis celle de la version d'IOS XE.
- Prévoyez comment vous récupérerez les correctifs : correctifs gratuits pour les failles critiques, contrat Cisco ou maintenance tierce.
- Gardez une trace : inventaire, versions, origine des images.
Pour contrôler un switch à la réception, voyez aussi Tester un switch Cisco d'occasion en 5 commandes et Licences Cisco sur un switch d'occasion.
Sources
- Assemblée nationale, dossier du projet de loi résilience : assemblee-nationale.fr
- Commission européenne, saisine de la Cour de justice (juillet 2026) : ec.europa.eu
- ANSSI, NIS2 et pré-enregistrement : messervices.cyber.gouv.fr/nis2
- ANSSI, ReCyF version 2.5 (document de travail) : PDF
- ANSSI, guide d'hygiène informatique : PDF
- Cisco, politique de fin de vie : cisco.com
- Cisco, versions recommandées pour Catalyst 9200 : cisco.com
- Cisco, notes de version IOS XE 26.2.x pour Catalyst 9200 : cisco.com
- Cisco, fin de vie d'IOS XE 17.15 : cisco.com, et 17.12 : cisco.com
- Cisco, fin de vie des UCS C220 et C240 M6 : cisco.com
- Cisco, politique de gestion des vulnérabilités : cisco.com
- Cisco, programme d'inspection et de relicence : cisco.com
- Commission européenne, lignes directrices sur le Cyber Resilience Act : digital-strategy.ec.europa.eu