La directive NIS2 change l’échelle de la cybersécurité réglementaire en Europe, et de nombreux dirigeants de PME découvrent qu’ils sont concernés sans l’avoir anticipé. Un audit cybersécurité NIS2 PME ne se résume pas à cocher des cases : il sert avant tout à répondre à trois questions simples, suis-je dans le périmètre, où sont mes écarts réels, et que dois-je corriger en priorité.
Pour les entreprises financières et leurs prestataires, l’enjeu est double : la conformité réglementaire d’un côté, les exigences contractuelles de leurs clients de l’autre. Cet article détaille les critères de classification, les mesures de sécurité attendues, le déroulé d’un audit et la façon de choisir un prestataire sérieux en 2026.
Audit cybersécurité NIS2 PME, êtes-vous concerné en 2026
Temps de lecture : ~11 min
- Entité essentielle ou entité importante, ce que dit réellement NIS2
- Vérifier son périmètre avant de parler d’audit
- Ce que vérifie concrètement un audit cybersécurité NIS2 en PME
- Diagnostic, audit organisationnel, pentest ou PASSI, comment choisir
- La chaîne d’approvisionnement, le point aveugle des PME
- Sanctions et responsabilité de la direction
- Choisir un prestataire d’audit NIS2 dans un contexte financier
- Du rapport d’audit au plan d’action de conformité NIS2
- Aller plus loin avec l’audit cybersécurité NIS2 PME
- FAQ sur l’audit cybersécurité NIS2 en PME
Entité essentielle ou entité importante, ce que dit réellement NIS2
La directive NIS2 (UE 2022/2555) remplace la directive NIS de 2016 et élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité. Elle distingue deux catégories : les entités essentielles et les entités importantes. La différence ne porte pas sur les mesures de sécurité à mettre en place, largement identiques, mais sur le régime de supervision.
Les entités essentielles peuvent faire l’objet de contrôles a priori, inspections sur site, audits de sécurité demandés par l’autorité compétente, tandis que les entités importantes relèvent d’une supervision a posteriori, déclenchée notamment après un incident ou un signalement.
Le classement combine deux critères, le secteur d’activité et la taille. La directive s’appuie sur la définition européenne des entreprises : une moyenne entreprise à partir de 50 salariés ou de 10 millions d’euros de chiffre d’affaires annuel, une grande entreprise à partir de 250 salariés ou de 50 millions d’euros de chiffre d’affaires. Les secteurs sont répartis entre secteurs hautement critiques, qui incluent l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau, les infrastructures numériques et l’administration publique, et d’autres secteurs critiques comme les services postaux, la gestion des déchets, la chimie, l’agroalimentaire, la fabrication de certains équipements et les fournisseurs de services numériques.
Pour le secteur financier, une précision est déterminante. La directive NIS2 prévoit que lorsque des dispositions sectorielles imposent des exigences au moins équivalentes, ce sont elles qui s’appliquent. C’est le cas du règlement DORA (Digital Operational Resilience Act), qui encadre la résilience opérationnelle numérique des entités financières et de leurs prestataires de services informatiques critiques. Une PME financière doit donc impérativement vérifier de quel cadre elle relève, et souvent comment les deux s’articulent sur sa chaîne de sous-traitance.
Bon à savoir
Une entreprise peut relever de plusieurs cadres simultanément : NIS2 pour son activité principale, DORA pour un service fourni à un acteur financier, et des clauses contractuelles spécifiques imposées par un donneur d’ordre. La vérification du périmètre NIS2 d’une PME doit donc être documentée et datée, car elle constitue le point de départ de toute la démarche.
Vérifier son périmètre avant de parler d’audit
La première erreur consiste à raisonner uniquement en effectif. Le critère de taille ne suffit pas à déterminer l’assujettissement : l’activité exercée, le rôle dans la chaîne de sous-traitance et l’importance du service fourni doivent également être analysés. Trois situations se présentent en pratique.
Trois situations typiques pour une PME
Dans la première situation, l’entreprise exerce une activité listée par la directive et atteint les seuils d’assujettissement. Elle est alors directement concernée et doit s’enregistrer auprès de l’autorité nationale, en France l’ANSSI, mettre en œuvre les mesures de gestion des risques et déclarer ses incidents significatifs.
Dans la deuxième, l’entreprise n’atteint pas les seuils mais fournit des services ou des technologies à une entité essentielle ou importante : éditeur de logiciel, infogéreur, plateforme SaaS, prestataire de services de paiement, cabinet de gestion. Elle subit alors des exigences par ricochet, via les clauses de sécurité de ses contrats, les questionnaires fournisseurs et les audits de second niveau. Une PME de moins de 50 salariés peut ainsi être indirectement soumise à des exigences NIS2 en tant que fournisseur.
Dans la troisième, l’entreprise n’est ni concernée directement ni sollicitée contractuellement, mais elle choisit de se mettre au niveau pour réduire son risque et sécuriser ses appels d’offres.
Ce que vérifie concrètement un audit cybersécurité NIS2 en PME
L’audit mesure l’écart entre le niveau de sécurité existant et les mesures de gestion des risques cyber attendues par la directive. Il combine une revue documentaire, des entretiens avec les responsables métier et informatique, des vérifications de configuration et une analyse des vulnérabilités. Le texte européen énumère un socle de mesures que tout auditeur sérieux reprend comme grille de référence.
Domaines systématiquement examinés lors d’un audit NIS2 en PME
- l’analyse des risques et la politique de sécurité des systèmes d’information (PSSI), avec un registre des risques tenu à jour
- la gestion des incidents de sécurité : détection, qualification, escalade, procédures de notification
- la continuité d’activité : sauvegardes, test de restauration, plan de reprise d’activité (PRA) et gestion de crise
- la sécurité de la chaîne d’approvisionnement : contrats, niveaux de service, dépendances aux fournisseurs critiques
- la sécurité de l’acquisition, du développement et de la maintenance, avec la gestion des vulnérabilités et le suivi des correctifs
- les politiques d’évaluation de l’efficacité des mesures : indicateurs, audits internes, tests de sécurité
- l’hygiène cyber et la formation des équipes, y compris la sensibilisation de la direction
- le chiffrement des données et les règles de cryptographie
- la sécurité des ressources humaines, le contrôle des accès privilégiés et la gestion des actifs
- l’authentification multifacteur (MFA), les communications sécurisées, la journalisation et la supervision
Dans une PME financière, l’audit accorde une attention renforcée à la protection des données clients, à la disponibilité des applications critiques, à la traçabilité des opérations, à la segmentation réseau entre environnements bureautiques et environnements métier, ainsi qu’à la sécurité cloud et SaaS. La cartographie des actifs critiques est le livrable qui conditionne tout le reste, car on ne protège correctement que ce que l’on a identifié. Le contrôle des accès privilégiés peut utilement s’appuyer sur une revue de la gestion des accès et des droits en PME.
Diagnostic, audit organisationnel, pentest ou PASSI, comment choisir
Toutes les prestations vendues sous l’étiquette NIS2 ne couvrent pas le même périmètre. Un diagnostic de maturité NIS2 est une photographie rapide, utile pour confirmer l’assujettissement et hiérarchiser les premières actions. Un audit organisationnel analyse les politiques, procédures, responsabilités et contrats. Un audit technique avec test d’intrusion vérifie la réalité des protections sur les systèmes exposés. Enfin, un audit mené par un prestataire qualifié PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information), qualification délivrée dans le cadre défini par l’ANSSI, apporte un niveau de preuve supérieur lorsque le donneur d’ordre, l’assureur ou le contrat l’exigent.
Comparer les principales offres d’audit NIS2 pour PME
Les fourchettes ci-dessous correspondent à des offres commerciales observées sur le marché français. Elles ne constituent ni un barème officiel ni une grille tarifaire.
| Type de prestation | Ce qu’elle couvre | Quand la choisir | Fourchette observée |
|---|---|---|---|
| Pré-audit ou diagnostic de maturité | Vérification du périmètre, premières constatations, hiérarchisation | Point de départ, budget contraint | À partir de quelques centaines d’euros |
| Audit NIS2 standard pour PME | Revue documentaire et organisationnelle, analyse des écarts | PME peu complexe, un seul site | 1 500 à 5 000 euros |
| Audit organisationnel approfondi | Gouvernance, procédures, fournisseurs, continuité d’activité | Structure multi sites ou multi entités | 3 000 à 7 000 euros |
| Audit technique avec pentest | Configurations, exposition Internet, vulnérabilités, tests d’intrusion | Portails clients, API, interfaces de paiement | 5 000 à 12 000 euros |
| Audit complet 360 ou intervention PASSI | Organisation, technique, fournisseurs, preuves opposables | Exigence contractuelle ou assurantielle forte | 8 000 à 18 000 euros |
Le prix d’un audit NIS2 en PME dépend du nombre de sites, de la complexité du système d’information, du niveau de preuve attendu et de l’ajout éventuel de tests d’intrusion. Comparez les devis sur les livrables et les qualifications, pas uniquement sur le montant. Un rapport sans analyse des écarts hiérarchisée ni plan d’action chiffré n’a aucune valeur opérationnelle.
La chaîne d’approvisionnement, le point aveugle des PME
NIS2 impose aux entités concernées de maîtriser la sécurité de leurs fournisseurs. Concrètement, vos clients grands comptes et vos donneurs d’ordre financiers vont vous demander des preuves : politique de sécurité, procédure de gestion des incidents, engagement de notification, résultats d’audit, parfois certification ISO/IEC 27001.
L’audit chaîne d’approvisionnement NIS2 fonctionne dans les deux sens : il évalue ce que vous devez à vos clients, et ce que vous devez exiger de vos propres prestataires, notamment en cas d’externalisation informatique complète. Une infogérance ne transfère jamais la responsabilité réglementaire, elle transfère une partie de l’exécution.
Sanctions et responsabilité de la direction
La directive NIS2 prévoit des amendes administratives dont le plafond atteint 10 millions d’euros ou 2 pour cent du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 pour cent pour les entités importantes, le montant le plus élevé étant retenu. Elle prévoit également que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements.
Les modalités précises de contrôle et de sanction relèvent de la transposition française et des textes d’application publiés par l’ANSSI, qu’il convient de suivre avant toute décision. Au-delà de l’amende, le risque le plus immédiat pour une PME reste la perte d’un contrat lorsqu’elle ne peut pas répondre au questionnaire sécurité d’un client, ce qui justifie souvent la souscription d’une assurance cyber adaptée aux risques PME.
Choisir un prestataire d’audit NIS2 dans un contexte financier
Un cabinet adapté doit démontrer une expérience réelle de la directive, une connaissance du secteur financier, une maîtrise des environnements cloud et SaaS, une capacité à auditer les fournisseurs et une méthodologie documentée. Il doit surtout être capable d’accompagner la remédiation, car un rapport d’audit non suivi d’effet ne réduit aucun risque.
Avant de signer, posez ces questions au prestataire pressenti :
- l’audit couvre-t-il l’organisation et la technique, ou seulement l’un des deux
- les fournisseurs critiques et l’externalisation informatique sont-ils inclus dans le périmètre
- un test d’intrusion est-il compris ou facturé séparément
- les risques sont-ils classés par criticité, avec un responsable et une échéance
- le rapport est-il utilisable auprès d’un client, d’un assureur ou d’une autorité
- quel accompagnement est prévu après la restitution
Du rapport d’audit au plan d’action de conformité NIS2
La restitution doit traduire les écarts techniques en décisions métier. Un plan d’action de conformité NIS2 crédible distingue trois horizons : les corrections immédiates sur les risques élevés, par exemple l’activation de la MFA sur tous les accès distants et la revue des comptes à privilèges, les chantiers à six ou douze mois comme la segmentation réseau, la journalisation centralisée et les tests de restauration, puis les sujets structurants à deux ou trois ans, PSSI complète, gouvernance des fournisseurs, exercices de crise réguliers.
Chaque action doit avoir un responsable, un budget et une preuve de réalisation conservée, car en cas de contrôle ou d’incident, c’est la traçabilité des décisions qui sera examinée.
Aller plus loin avec l’audit cybersécurité NIS2 PME
Chez NECC, notre pôle Système d’Information intervient sur cette articulation entre conformité, infrastructure et pilotage financier, en lien avec les équipes audit et conseil du groupe. L’objectif n’est pas de produire un document de plus, mais de sécuriser durablement votre activité et vos relations clients.
NIS2 ne doit pas être abordée comme une formalité administrative, mais comme un cadre qui structure la gestion des risques cyber d’une PME. La bonne séquence reste la même : vérification du périmètre, diagnostic de maturité, analyse des écarts, plan d’action priorisé, puis contrôles périodiques. Plus tôt la démarche est engagée, plus les arbitrages budgétaires sont sereins et plus les réponses aux questionnaires de vos donneurs d’ordre sont solides.
Si vous souhaitez faire le point sur votre situation, nos équipes sont disponibles pour un premier échange via notre page contact.
FAQ sur l’audit cybersécurité NIS2 en PME
Combien de temps dure un audit NIS2 dans une PME ?
Pour une structure mono site avec un système d’information standard, la phase d’entretiens et de revue documentaire se déroule généralement sur quelques jours, la rédaction du rapport et la restitution demandant ensuite une à deux semaines. L’ajout de tests techniques ou d’un périmètre multi entités allonge mécaniquement le calendrier.
Faut-il être certifié ISO/IEC 27001 pour être conforme à NIS2 ?
Non, aucune certification n’est imposée par la directive. ISO/IEC 27001 constitue néanmoins un référentiel très proche des mesures attendues, et une organisation déjà certifiée couvre une large part des exigences. Elle devra toutefois vérifier les points spécifiques à NIS2, notamment la notification des incidents et la sécurité de la chaîne d’approvisionnement.
Quels sont les délais de notification d’un incident significatif ?
La directive prévoit une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, une notification plus complète dans les 72 heures, puis un rapport final sous un mois. Ces délais supposent d’avoir préalablement désigné les personnes responsables et préparé les canaux de déclaration.
Un audit NIS2 doit-il être renouvelé régulièrement ?
La conformité n’est pas un état figé. Un réexamen annuel du registre des risques et une réévaluation après tout changement majeur, migration cloud, acquisition, nouveau prestataire critique ou incident, sont recommandés. Les entités essentielles peuvent par ailleurs se voir demander des audits par l’autorité compétente.
Notre informatique est entièrement externalisée, sommes-nous dispensés ?
Non. L’externalisation transfère l’exécution, pas la responsabilité. Vous devez documenter les engagements de votre prestataire, vérifier ses sauvegardes et ses procédures d’incident, et conserver une capacité de contrôle contractuelle sur les éléments critiques.
Notre PME travaille avec des clients bancaires, relevons-nous de NIS2 ou de DORA ?
Tout dépend de votre statut et de la nature du service fourni. DORA s’applique aux entités financières réglementées et, sous certaines conditions, à leurs prestataires de services informatiques critiques. Une analyse de qualification est nécessaire, car les deux cadres peuvent coexister dans un même groupe.
