Service · pentest
Audit NIS2,
vos mesures mises à l'épreuve.
L'article 21.2 impose aussi d'évaluer l'efficacité des mesures déployées. Un pentester certifié OSWE attaque vos systèmes exposés, rattache chaque constat aux dix mesures de l'article et revient vérifier vos correctifs. Volet technique uniquement : la rédaction de la PSSI n'en fait pas partie, et le cadrage le précise d'emblée.
2 250 € les 5 jours · retest inclus · TVA non applicable- Testées
- 4 / 10
- le test la vérifie
- Alimentées
- 4 / 10
- le test y verse des preuves
- Hors test
- 2 / 10
- à couvrir ailleurs
- (a)Analyse des risques4 scénarios d'attaque démontrés, versés à l'analyseAlimentée
- (b)Gestion des incidentsProcédure et exercices : hors testHors test
- (c)Continuité et gestion de crisePCA et PRA : hors testHors test
- (d)Chaîne d'approvisionnement2 sous-domaines d'un prestataire, hors inventaireAlimentée
- (e)Développement et vulnérabilitésIDOR sur /api/factures/{id}, CVSS 8.1Testée
- (f)Efficacité des mesuresRapport, plan de remédiation, retestTestée
- (g)Hygiène informatiqueConsole d'admin exposée, compte par défautAlimentée
- (h)CryptographieTLS 1.0 encore accepté sur l'extranetAlimentée
- (i)Contrôle d'accèsRôle comptable promu admin via l'APITestée
- (j)MFA et communicationsAucun second facteur sur l'API mobileTestée
Un tableau de conformité coché ne dit pas si la mesure tient.
L'article 21.2 liste dix mesures, et la (f) demande des "politiques et procédures pour évaluer l'efficacité" des neuf autres. Le tableau répond à la question "la mesure existe-t-elle ?". L'auditeur, l'assureur et, après un incident, l'autorité en posent une autre : résiste-t-elle quand quelqu'un essaie de passer ?
- (j)
Ce que dit le tableau : Authentification multifacteur : déployée
Ce que le test a trouvé : L'API de l'application mobile accepte un mot de passe seul.
- (g)
Ce que dit le tableau : Comptes par défaut : supprimés
Ce que le test a trouvé : La console d'administration répond depuis Internet, avec le compte livré par l'éditeur.
- (h)
Ce que dit le tableau : Chiffrement des flux : conforme
Ce que le test a trouvé : L'extranet accepte encore TLS 1.0.
Le test ne remplace pas le tableau. Il lui ajoute ce qui manque à la mesure (f) : une preuve datée, rejouable, puis le retest qui montre la correction.
Ce qui se voit d'une PME en ligne, avant même de la tester.
En octobre 2026, own2pwn a mesuré depuis l'extérieur la posture de PME rattachées à un site à leur nom, dans cinq secteurs : télécom et numérique, BTP, industrie, transport, santé. Rien d'intrusif : les enregistrements DNS publics, la poignée de main TLS et la page d'accueil, ce que voit n'importe quel visiteur.
10 609 PME mesurées, soit 15,6 % des PME des cinq secteurs
(j) Messagerie et communications
84,7 %
n'appliquent pas DMARC (ni quarantine ni reject)
Sans DMARC appliqué, n'importe qui peut envoyer un courriel au nom du domaine de l'entreprise.
(e) Maintenance et vulnérabilités
22,3 %
laissent lire une version logicielle en fin de vie
Une version qui ne reçoit plus de correctifs, affichée à qui la demande.
(h) Cryptographie
63,6 %
n'activent pas HSTS
Sans HSTS, rien n’empêche un navigateur de repasser en HTTP non chiffré.
(g) Hygiène informatique
56,5 %
n'envoient aucun des cinq en-têtes de sécurité HTTP
Ni CSP, ni protection contre l’intégration en cadre, ni nosniff, ni Referrer-Policy, ni Permissions-Policy.
La taille compte sur la messagerie : 87,0 % des PME de 10 à 49 salariés n'appliquent pas DMARC, contre 75,3 % de celles de 50 à 249. Ces signaux se lisent sans rien attaquer. Un test d'intrusion commence là où ils s'arrêtent : il vérifie ce qu'un attaquant en fait.
Mesure passive des 11 et 12 octobre 2026 sur 10 609 PME rattachées à un site à leur nom (15,6 % des PME du cadre), cinq secteurs. Les chiffres ne décrivent que ces PME-là. Aucun site n'est nommé. Résultats complets et méthode de l'étude.
Les dix mesures de l'article 21.2, une par une.
Pour chaque mesure, ce qu'un auditeur s'attend à lire et ce qu'un test technique permet d'en établir. Quatre sont testées directement, quatre sont alimentées par le test, deux restent hors test. Le rapport reprend cette répartition, pour qu'aucune mesure ne passe pour couverte à tort.
| Mesure | Preuve attendue | Ce que le test établit | État |
|---|---|---|---|
| (a)Analyse des risques et sécurité des SI | Méthodologie, cartographie, scénarios de risque | Des scénarios d’attaque démontrés et datés, pour coter la vraisemblance | Alimentée |
| (b)Gestion des incidents | Procédure, journal des incidents, délais de notification | Rien : relève de l’organisation et des exercices | Hors test |
| (c)Continuité d’activité et gestion de crise | PCA, PRA, tests de restauration | Rien | Hors test |
| (d)Chaîne d’approvisionnement | Inventaire des fournisseurs, clauses contractuelles | La surface exposée par les tiers et les actifs oubliés | Alimentée |
| (e)Acquisition, développement et vulnérabilités | Politique de gestion des failles, cycle de développement | Les failles trouvées, exploitées et documentées : le cœur du test applicatif | Testée |
| (f)Évaluation de l’efficacité des mesures | Rapports de test, plan de remédiation, retest | La mesure que le test matérialise directement | Testée |
| (g)Hygiène informatique et formation | Politique, plan de sensibilisation | Comptes par défaut, services exposés, certificats | Alimentée |
| (h)Cryptographie et chiffrement | Politique cryptographique, configurations | Configuration TLS, algorithmes faibles en boîte blanche | Alimentée |
| (i)Ressources humaines et contrôle d’accès | Matrice d’habilitations, revue des accès | Côté applicatif : élévations de privilèges, accès horizontaux | Testée |
| (j)MFA et communications sécurisées | Déploiement de la MFA, canaux chiffrés | Contournement de MFA, sessions, canaux non protégés | Testée |
Le raisonnement mesure par mesure est détaillé dans le guide Audit NIS2 : déroulé, livrables et prix.
Du cadrage au retest, en quatre temps.
- 01
Cadrage
Secteur, taille, périmètre exposé : d'abord vérifier que NIS2 vous concerne, puis fixer ce qui sera testé, sur quel environnement et dans quelles fenêtres. La convention d'audit et l'autorisation écrite sont signées avant la première requête.
Vous recevezConvention et périmètre écrits
- 02
Test
Cartographie de ce qui est atteignable depuis Internet, puis exploitation manuelle. Chaque faille est confirmée à la main, scorée en CVSS et capturée au moment où elle cède.
Vous recevezCaptures horodatées de chaque faille
- 03
Rapport rattaché aux mesures
Une synthèse pour la direction, le détail technique pour les équipes, et chaque constat rattaché aux mesures (a) à (j) de l'article 21.2. Restitution en séance.
Vous recevezRapport, matrice, plan de remédiation
- 04
Retest des correctifs
Une fois vos correctifs en place, chaque faille corrigée est rejouée. La matrice est mise à jour avec l’état après correction.
Vous recevezRapport de retest daté
Ce que vous versez au dossier.
Quatre pièces, écrites pour être lues par quelqu'un qui n'a pas assisté au test.
- Rapport à deux niveauxUne synthèse lisible par l'organe de direction, puis chaque faille avec sa preuve rejouée à la main, son score CVSS et son correctif.
- Matrice de rattachementChaque constat relié aux mesures de l'article 21.2. Les mesures que le test ne couvre pas y sont écrites comme telles.
- Plan de remédiation prioriséLes corrections dans l'ordre où les faire, avec la charge estimée de chacune.
- Rapport de retestLa vérification datée de chaque correctif. C’est la trace d’efficacité que demande la mesure (f).
Ni certification ni attestation de conformité NIS2 : il n'en existe pas, et personne ne peut en délivrer. Le dossier aide à démontrer l'efficacité de vos mesures.
Audit NIS2, volet technique
SOCIÉTÉ ANONYMISÉE
Aucune faille critique, mais une chaîne classée élevée mène d'un compte d'essai gratuit au contrôle administrateur de l'instance. Correction attendue avant la prochaine mise en production.
Élévation de privilège par affectation de masse sur l'API de profil
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
PATCH /api/v1/users/me HTTP/1.1
Host: api.client-anonymise.example
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.[...]
Content-Type: application/json
Content-Length: 37
{"displayName":"test","role":"admin"}HTTP/1.1 200 OK
Content-Type: application/json
Content-Length: 51
{"id":"u_2841","displayName":"test","role":"admin"}Requête rejouée à la main, jeton tronqué, identifiants remplacés.
Maquette anonymisée : exemple de format de livrable, avec des données fictives. Aucun rapport de mission n'est publié, et la société ne communique jamais le nom d'un commanditaire.
Le volet technique, et seulement lui.
Un audit NIS2 a deux moitiés. Celle-ci produit la preuve technique. L'autre est documentaire : elle se rédige, elle ne se teste pas.
Dans l'audit
- Test d'intrusion des applications et API exposées
- Cartographie de la surface externe et des actifs oubliés
- Matrice de rattachement à l'article 21.2
- Plan de remédiation et retest des correctifs
Hors de l'audit
- Rédaction de la PSSI
- Analyse de risques documentaire
- Tenue du registre de conformité
- Plan de continuité et gestion de crise
Prix, durée, prérequis.
Les prix sont écrits avant le premier appel. Le cadrage fixe ensuite le périmètre exact.
| 5 jours | 10 jours | |
|---|---|---|
| Prix | 2 250 € | 4 500 € |
| Périmètre | Une application web exposée et ses API | Plusieurs applications ou environnements |
| Retest | 1 retest inclus | 2 retests inclus |
| Restitution | Restitution en séance | Restitution en séance, synthèse pour l'organe de direction |
- Taux journalier
- 450 € par jour
- Réponse à une demande
- sous 24 h
- Pentester
- certifié OSWE
- Méthode
- OWASP WSTG, PTES, CVSS v3.1
- Prérequis
- Autorisation écrite du propriétaire des systèmes, périmètre arrêté, comptes de test par rôle, fenêtre convenue
- Environnement
- Préproduction identique à la production par défaut, production possible en tests non destructifs
Groupe, plusieurs entités ou campagne récurrente : sur devis, au même taux journalier.
Vos questions sur l'audit NIS2.
Cet audit NIS2 couvre-t-il toute ma conformité ?
Non, et personne ne devrait vous vendre ça. Cette prestation couvre le volet technique : la preuve d'efficacité de vos mesures de sécurité et l'inventaire de vos actifs exposés. Le volet gouvernance (analyse de risques, politique de sécurité, plan de continuité, gestion de crise, sensibilisation) relève d'un audit organisationnel, qu'own2pwn ne pratique pas. La matrice livrée indique explicitement quelles mesures de l'article 21.2 restent à traiter par ailleurs, et c'est ce qui la rend utilisable par votre auditeur.
Combien coûte le volet technique d'un audit NIS2 ?
Le TJM est de 450 € net, TVA non applicable au titre de l'article 293 B du CGI. Une mission de 5 jours revient à 2 250 €, une mission de 10 jours à 4 500 €, retest inclus dans les deux cas. Les périmètres groupe ou multi-entités sont sur devis après cadrage. Ces prix sont affichés parce que les pages qui vendent cet audit les publient rarement, et parce qu'un forfait annoncé avant le cadrage du périmètre est un chiffre, pas une mission.
Un test d'intrusion est-il obligatoire pour être conforme à NIS2 ?
La directive n'impose pas nommément un test d'intrusion. Elle impose, à la mesure (f) de l'article 21.2, des politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques. Le test est l'instrument le plus direct et le plus documentable pour satisfaire cette exigence, mais ce n'est pas le seul chemin possible. En revanche, une conformité entièrement déclarative laisse cette mesure sans preuve.
Quelles mesures de l'article 21.2 un test peut-il réellement vérifier ?
Quatre sont testées directement : la sécurité du développement et le traitement des vulnérabilités (e), l'évaluation de l'efficacité (f), le contrôle d'accès côté applicatif (i), et l'authentification multifacteur et les communications sécurisées (j). Quatre sont alimentées par le test sans être couvertes en entier : l'analyse de risques (a), qui reçoit des scénarios d'attaque démontrés, la chaîne d'approvisionnement (d) par la surface exposée, l'hygiène (g) par les comptes et services oubliés, et la cryptographie (h) par les configurations. Deux restent hors test : la gestion des incidents (b) et la continuité d'activité (c).
Suis-je concerné par NIS2 ?
Deux conditions se cumulent : relever d'un secteur listé aux annexes I ou II de la directive, puis atteindre la taille d'une moyenne entreprise, soit au moins 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires. C'est le secteur qui commande en premier, pas l'effectif. Certaines entités critiques sont visées quelle que soit leur taille. Si le doute subsiste, le diagnostic NIS2 en ligne donne une première réponse, et le cadrage tranche avant toute facture.
Les livrables sont-ils opposables à un auditeur ou à l'autorité ?
Ils sont écrits pour être lus par un auditeur ou par l'autorité : rapport horodaté à deux niveaux, preuves d'exploitation, scores CVSS, matrice de rattachement aux mesures de l'article 21.2, plan de remédiation priorisé, et rapport de retest qui atteste des corrections. Ils aident à démontrer l'efficacité de vos mesures. Ils ne valent ni certification ni attestation de conformité NIS2 : il n'en existe pas, et personne ne peut en délivrer.
Faut-il tester en production ou en préproduction ?
Préproduction par défaut, à condition qu'elle soit iso-production. Une préproduction qui diverge donne un rapport qui ne décrit pas votre exposition réelle, donc une preuve faible. Si seul l'environnement de production est représentatif, on y va, avec des tests non destructifs, une fenêtre convenue et une procédure d'arrêt. Ce point se tranche au cadrage.
Pour aller plus loin sur NIS2.
Audit NIS2 : déroulé, livrables et prix
Le guide complet, avec le tableau de mapping de l'article 21.2.
Lire →Directive NIS2 : qui est concerné
Secteurs, seuils, sanctions et calendrier de transposition.
Lire →NIS2 pour les PME et ETI
Ce que la directive change concrètement pour une structure moyenne.
Lire →Un audit NIS2 à cadrer ?
Indiquez votre secteur, votre taille et votre périmètre exposé. Réponse sous 24 h, avec un cadrage et un devis.