Guide Kerndyne · Mise en conformité NIS2
NIS2 vs audit de sécurité externe : par où commencer ?
Vous êtes soumis à NIS2. Par quoi commencer pour vous mettre en conformité sans exploser votre budget ? La méthode en 5 étapes.
Publié le 14 septembre 2026 · Lecture 10 minutes
Vous avez compris que votre entreprise est soumise à NIS2 (voir notre guide complet). Mais par où commencer ? Budget serré, équipe IT restreinte, pas de RSSI interne. Voici la méthode pragmatique.
Les 5 piliers NIS2 en bref
NIS2 impose 5 piliers de cybersécurité. Pour chacun, voici ce qu'il faut mettre en place :
| Pilier NIS2 | Ce que ça implique | Coût PME/an |
|---|---|---|
| 1. Gouvernance | RSSI, politique sécurité, responsabilité direction | 5-15k€ |
| 2. Gestion des risques | EBIOS RM, audit annuel, plan traitement | 3-8k€ |
| 3. Sécurité des systèmes | MFA, chiffrement, EDR, segmentation | 3-8k€ |
| 4. Gestion des incidents | SOC 24/7, processus notification ANSSI 24h | 2-10k€ |
| 5. Continuité d'activité | PCA/PRA, sauvegardes externalisées | 1-5k€ |
Budget total PME : 15-30k€/an (tout compris)
Méthode en 5 étapes
Étape 1 : Audit initial des écarts (3-8k€)
Faites un audit de sécurité externe par un prestataire certifié (méthodologie OWASP). Livrable :
- Rapport signé SHA-256 (vérifiable cryptographiquement)
- Liste des vulnérabilités classées par criticité CVSS
- Mapping NIS2 : pour chaque exigence NIS2, êtes-vous conforme ?
- Plan de remédiation priorisé (Quick wins / Moyen terme / Long terme)
- Budget estimatif pour atteindre la conformité NIS2
Durée : 5-10 jours
Étape 2 : Cartographie NIS2 (1-2 jours)
Une fois l'audit terminé, faites votre cartographie NIS2 :
- Liste des actifs informationnels (matériels, logiciels, données)
- Liste des processus métiers critiques
- Liste des fournisseurs tiers critiques
- Matrice de risques (probabilité × impact)
Méthodologie recommandée : EBIOS RM (ANSSI) ou ISO 27005.
Étape 3 : Quick wins (3-6 mois)
Implémentation rapide des mesures à fort impact :
| Mesure | Coût | Délai | Pilier NIS2 |
|---|---|---|---|
| MFA généralisée | 50-500€/mois | 1 mois | Pilier 3 |
| Sauvegardes 3-2-1 | 100-500€/mois | 1 mois | Pilier 5 |
| Politique mots de passe | 0€ | 1 semaine | Pilier 1 |
| Chiffrement disques | 0-100€ | 1 mois | Pilier 3 |
| Mise à jour automatique | 0€ | 1 semaine | Pilier 3 |
| Formation phishing | 500-2000€/an | 2 mois | Pilier 1 |
Étape 4 : Pilier 1+2 NIS2 (3-6 mois)
Formalisez la gouvernance cyber :
- Désignez un RSSI (interne ou externalisé)
- Rédigez la politique de sécurité (validée par la direction)
- Mettez en place la cartographie des risques (EBIOS RM)
- Établissez un comité cyber mensuel (réunion 1h)
- Documentez les procédures (incident, continuité)
Étape 5 : Piliers 3+4+5 NIS2 (6-12 mois)
Implémentation technique complète :
- EDR (Endpoint Detection and Response) sur tous les postes
- SIEM / SOC (24/7 ou service managé)
- Segmentation réseau (VLAN, micro-segmentation)
- Sauvegardes immuables (anti-ransomware)
- PCA/PRA documentés et testés annuellement
- Plan de réponse aux incidents (runbook)
RSSI interne vs externalisé
| Critère | RSSI interne | RSSI externalisé |
|---|---|---|
| Coût annuel | 80-150k€ chargé | 5-15k€ |
| Disponibilité | Continue (full-time) | 1-3 jours/mois |
| Expertise | Spécialiste interne | Plusieurs experts accessibles |
| Coût/qualité | Bon si volume important | Excellent pour PME |
Recommandation PME : commencez par un RSSI externalisé (5-15k€/an). Évaluez après 1-2 ans si le volume justifie un RSSI interne.
Budget type pour une PME NIS2-ready
| Poste | Coût annuel |
|---|---|
| Audit de sécurité externe | 3 000 - 8 000 € |
| RSSI externalisé | 5 000 - 15 000 € |
| MFA / outils collaboration | 600 - 6 000 € |
| EDR / antivirus nouvelle génération | 2 000 - 8 000 € |
| SOC managé (24/7) | 3 000 - 12 000 € |
| Sauvegardes externalisées | 1 000 - 3 000 € |
| Formation + tests | 1 000 - 3 000 € |
| Total | 15 000 - 55 000 € |
Conclusion
Se mettre en conformité NIS2 en PME, c'est possible avec 15-30k€/an de budget cyber. La clé : commencer par un audit, prioriser les Quick wins, formaliser la gouvernance, puis investir dans la surveillance continue.
Demandez votre audit NIS2-ready dès aujourd'hui. Réponse sous 24h.
FAQ — NIS2 et audit
Un audit de sécurité externe suffit-il pour NIS2 ?
Non, mais c'est l'étape 1 indispensable. L'audit identifie vos écarts avec les exigences NIS2 (5 piliers). Ensuite vous devez : (1) gouvernance cyber (RSSI, politique), (2) gestion documentaire (preuves), (3) surveillance continue. Le budget typique PME est 15-30k€/an, dont 3-8k€ pour l'audit initial.
Faut-il un RSSI pour NIS2 ?
Oui, NIS2 impose une responsabilité de la direction sur la cybersécurité. Pour les PME, un RSSI externalisé (5-15k€/an) est souvent plus rentable qu'un RSSI interne (80-150k€/an chargé). Le RSSI externalisé intervient 1-3 jours/mois pour piloter la conformité, faire les audits annuels et gérer la relation avec l'ANSSI.
Audit NIS2-ready dès maintenant
Demander un audit NIS2 →