Audit NIS2 : déroulé, livrables, prix, et pourquoi le papier ne
suffit pas

Le classeur est prêt. Politique de sécurité signée, EDR déployé, sauvegardes chiffrées, MFA activé, procédure d'incident rédigée. Sur le tableau de suivi NIS2, chaque ligne est au vert. Puis l'auditeur pose la seule question qui compte : "Comment savez-vous que tout ça fonctionne ?" Et là, le silence. Vous avez déployé des mesures. Vous n'avez jamais vérifié qu'elles résistent à quelqu'un qui essaie vraiment de passer. C'est le point aveugle de tout audit NIS2.

C'est exactement le trou que la directive NIS2 vous demande de combler, et c'est là qu'un audit NIS2 sérieux fait appel au test d'intrusion. Le pentest prouve l'efficacité d'une partie de vos mesures, pas votre conformité entière : voilà où il s'insère, ce qu'il prouve, et ce qu'il ne remplace pas. Si vous vous demandez encore si NIS2 vous concerne, commencez plutôt par le guide sur la directive NIS2 et par notre article dédié aux PME concernées par NIS2.

"Audit NIS2" : deux choses qu'on confond tout le temps

Quand un dirigeant tape "audit NIS2", il mélange en réalité deux exercices très différents, et cette confusion coûte cher au moment de choisir un prestataire.

• L'audit de conformité (documentaire et organisationnel). Un consultant passe en revue votre gouvernance, vos politiques, votre analyse de risques, votre plan de continuité. Il compare l'existant aux exigences de l'article 21 et produit un écart. C'est indispensable, mais ça reste déclaratif : on vérifie que la mesure existe, pas qu'elle tient.
• Le test technique (le pentest). Un attaquant mandaté essaie réellement de compromettre vos systèmes exposés. Il ne lit pas votre politique de mot de passe : il tente de la casser. Il ne coche pas "WAF déployé" : il le contourne, ou il n'y arrive pas, et dans les deux cas vous avez une réponse factuelle.

Les deux sont complémentaires. L'audit documentaire dit où vous en êtes sur le papier ; le pentest dit ce qui se passe quand le papier rencontre un adversaire. NIS2 ne se contente pas du premier, et c'est écrit noir sur blanc.

Êtes-vous seulement dans le périmètre ?

Avant de commander quoi que ce soit, tranchez cette question, parce qu'une bonne partie des entreprises qui s'inquiètent de NIS2 n'y sont pas soumises, et qu'une autre partie l'est sans le savoir. Deux conditions se cumulent : relever d'un secteur listé aux annexes I ou II de la directive, puis atteindre la taille d'une moyenne entreprise, soit au moins 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires.

L'ordre compte, et c'est là que la plupart des synthèses se trompent : c'est le secteur qui commande en premier, pas l'effectif. Une PME de 60 personnes dans un secteur de l'annexe I est concernée ; une entreprise de 500 personnes hors annexes ne l'est pas. Quelques acteurs critiques, comme les fournisseurs de services DNS, sont visés quelle que soit leur taille. Le détail des secteurs et le calendrier français sont dans le guide sur la directive NIS2.

De cette qualification découle votre classement en entité essentielle ou entité importante, qui change deux choses concrètes. Le mode de supervision d'abord : proactif pour les entités essentielles, avec des contrôles qui peuvent survenir sans incident préalable, a posteriori pour les entités importantes. Le plafond des sanctions ensuite : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.

Comment se déroule un audit NIS2, et ce que vous récupérez à la fin

Un audit NIS2 sérieux suit à peu près toujours la même trajectoire, et connaître ses étapes vous évite d'acheter un livrable qui ne vous sert à rien. Le cadrage établit le périmètre, les entités juridiques couvertes et les interlocuteurs. La revue documentaire confronte vos politiques, votre analyse de risques et vos procédures aux exigences de l'article 21. L'évaluation technique va vérifier sur le terrain ce que la documentation affirme. Puis vient la restitution, avec la matrice d'écarts et le plan de remédiation priorisé.

Les livrables qui comptent vraiment sont au nombre de quatre : une matrice d'écarts exigence par exigence, un plan de remédiation priorisé avec charge estimée, les preuves techniques associées aux mesures testées, et une synthèse pour l'organe de direction, qui est maintenant responsable de l'approbation des mesures. Si un devis ne mentionne aucun de ces quatre éléments, demandez à voir un exemple de rapport avant de signer. On a détaillé la façon d'exploiter la sortie d'un audit dans notre article sur le plan de remédiation.

Combien coûte un audit NIS2 ?

Personne n'affiche de prix sur ce sujet, ce qui est commode pour les prestataires et pénible pour vous. Alors disons les choses simplement. Le volet conformité, documentaire et organisationnel, se chiffre au périmètre et au nombre d'entités juridiques à couvrir ; il n'a pas de tarif de catalogue honnête, parce qu'auditer une holding de douze filiales n'a rien à voir avec auditer une PME mono-site.

Le volet technique, lui, se chiffre en jours de test, et là on peut être précis. Chez nous, un test d'intrusion web est à 450 € net par jour, soit 2 250 € pour une mission de cinq jours et 4 500 € pour dix jours, retest inclus pour vérifier que vos correctifs tiennent. Le détail des variables qui font bouger ce chiffre est dans notre article sur le prix d'un test d'intrusion. Un prestataire qui vous annonce un forfait avant d'avoir cadré le périmètre vend un chiffre, pas une mission.

Ce que l'article 21 exige vraiment : prouver l'efficacité

L'article 21.2 de la directive liste dix mesures minimales de gestion des risques. La plupart des guides s'arrêtent à les recopier. Le point qu'on oublie systématiquement est le (f) : des "politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité". Traduit : la directive vous demande explicitement de tester ce que vous avez mis en place, pas seulement de le mettre en place.

Un test d'intrusion est l'instrument le plus direct pour matérialiser ce (f). Mais il éclaire aussi plusieurs autres mesures de la liste, parce qu'un attaquant se moque de vos silos organisationnels :

• (e) sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités. Vos applications web exposées sont le terrain n°1, et traiter puis divulguer les failles est exactement ce qu'un pentest matérialise : il trouve les injections, les défauts de contrôle d'accès et les composants vulnérables, puis les documente, là où aucune revue documentaire ne les verra.
• (d) sécurité de la chaîne d'approvisionnement. Vos prestataires, vos sous-domaines oubliés, vos API tierces élargissent votre surface sans que vous le sachiez. C'est le pont naturel vers l'cartographie de la surface d'attaque externe pour NIS2.
• (g) hygiène informatique de base et formation. Un test révèle les comptes par défaut, les services d'administration exposés, les certificats expirés : l'hygiène telle qu'elle est vécue, pas telle qu'elle est décrite.
• (a) analyse des risques. Les résultats du pentest réalimentent votre analyse de risques avec des scénarios prouvés, au lieu d'hypothèses.

Vu de plus haut, voici comment les dix mesures de l'article 21.2 se traduisent en preuve exigible. C'est le tableau qu'on aurait aimé trouver quand on a commencé à cadrer des missions NIS2 : pour chaque mesure, ce que l'auditeur attend, et si un test technique peut l'établir ou non.

Lisez la colonne de droite et le partage se dessine tout seul : sur dix mesures, un test technique en établit quatre franchement, en éclaire quatre partiellement, et ne dit rien de deux d'entre elles. C'est exactement pour ça qu'un pentest ne remplace pas un audit de conformité, et qu'un audit de conformité sans test laisse la moitié du tableau en déclaratif. C'est aussi le périmètre exact de notre audit NIS2, volet technique : on couvre cette colonne, on vous remet la matrice, et on vous dit franchement ce qui reste à traiter côté gouvernance.

Du classeur vert à la preuve : où le test s'insère

Concrètement, la valeur d'un pentest dans un audit NIS2 tient en une bascule : vous passez d'une affirmation ("nous avons un pare-feu applicatif") à une démonstration datée et reproductible ("voici la requête qui l'a contourné le 12 mars, voici le correctif, voici le retest qui confirme la fermeture"). C'est ce dossier de preuve que l'auditeur, l' assureur cyber et, en cas d'incident, l'autorité de contrôle attendent.

Blackbox ou whitebox pour un audit NIS2 ?

Les deux approches répondent à des questions différentes, et un audit NIS2 bien mené sait laquelle il commande.

Le blackbox : la vision de l'attaquant réel

Le testeur part de zéro, comme un attaquant sur Internet : il découvre votre surface, cherche l'entrée, tente de pivoter. C'est le meilleur miroir de la menace réelle et le plus parlant pour un comité de direction. Il répond à la question : "que peut faire quelqu'un qui nous vise, sans rien savoir de nous ?" Détail dans notre guide du déroulement d'un pentest. Le secteur financier pousse cette logique jusqu'à un régime formalisé et piloté par la menace, le TLPT, que nous détaillons dans DORA et ses tests d'intrusion.

Le whitebox : la couverture en profondeur

Le testeur reçoit le code, les accès, l'architecture. Il ne perd pas de temps à trouver la porte : il inspecte chaque pièce. Pour la mesure (e), c'est souvent le plus rentable : on couvre l'ensemble des chemins, y compris ceux qu'un attaquant externe mettrait des mois à atteindre. Pour un actif critique au sens NIS2, la couverture prime sur le réalisme.

En pratique, pour une entité NIS2, on combine : blackbox sur le périmètre exposé pour le réalisme et le rapport de direction, whitebox sur les applications qui portent les données sensibles pour l'exhaustivité. Le budget se raisonne à la criticité, pas au forfait ; on détaille la logique dans notre article sur le prix d'un test d'intrusion.

NIS2 fait remonter la responsabilité au dirigeant

Ce qui rend NIS2 différent des textes précédents, c'est que la responsabilité remonte au sommet. Les organes de direction doivent approuver les mesures et superviser leur mise en œuvre, et leur responsabilité peut être engagée. Un dossier de preuve d'efficacité n'est donc plus un confort technique : c'est la démonstration de diligence qui protège le dirigeant le jour où une autorité demande des comptes. "Nous avions déployé les mesures" pèse peu ; "nous les avons fait tester, corrigées et retestées" pèse lourd.

Questions fréquentes sur l'audit NIS2

À retenir

• "Audit NIS2" recouvre deux exercices : l'audit documentaire (la mesure existe) et le test technique (la mesure tient). NIS2 exige les deux.
• L'article 21.2 (f) impose d'évaluer l'efficacité de vos mesures. Le pentest est l'instrument le plus direct pour le prouver.
• Le test éclaire aussi les mesures (e) développement, (d) chaîne d'approvisionnement et (g) hygiène, parce qu'un attaquant ignore vos silos.
• Un pentest n'est pas la conformité complète : il ne couvre ni la gouvernance, ni la notification d'incident, ni la continuité. Se le faire vendre comme conformité complète est une promesse à fuir.
• Blackbox pour le réalisme, whitebox pour la couverture : une entité NIS2 combine les deux selon la criticité de l'actif.
• Le dossier de preuve protège le dirigeant dont la responsabilité est désormais engagée.

Si votre tableau de conformité est au vert mais que vous ne pourriez pas prouver qu'une seule de ces mesures résiste à une vraie tentative, c'est le moment de combler l'écart. Un test d'intrusion web en conditions réelles transforme vos cases cochées en preuves datées, et vous rend l'audit NIS2 beaucoup plus serein. Parlons de votre périmètre : on cible d'abord ce qui est exposé, donc ce qui compte.