Cookies
Avec votre accord, nous utilisons un cookie publicitaire Meta pour mesurer nos annonces. Avec votre accord, nous mesurons aussi l'audience du site (Google Analytics) pour l'améliorer. Vous pouvez refuser : le site fonctionne pareil. Choix modifiable à tout moment via « Gestion des cookies ». En savoir plus
Un audit NIS2 compare votre organisation et vos systèmes aux exigences de la directive européenne (UE) 2022/2555 sur la cybersécurité. Il vous dit si vous êtes concerné, ce qui manque et dans quel ordre le corriger, avec un rapport d'écarts priorisé. C'est un point de départ, pas une conformité « clé en main ».
Pour être accompagné ensuite dans la durée, voir notre mise en conformité NIS2. Pour une première auto-évaluation, utilisez la checklist NIS2 en 20 points.
Périmètre
L'audit examine vos preuves, pas seulement vos réponses à un questionnaire. Si une analyse de risques complète manque, elle peut être menée avec la méthode EBIOS RM de l'ANSSI.
Secteur, taille et activités : l'audit vérifie si NIS2 s'applique à vous, comme entité essentielle ou importante, ou si vos clients vous imposent des exigences équivalentes par contrat.
La direction approuve les mesures de sécurité, suit leur mise en œuvre et se forme. Les responsabilités sont attribuées et les décisions tracées.
Analyse des risques et politiques de sécurité, gestion des incidents, continuité d'activité et sauvegardes, sécurité des fournisseurs, sécurité des achats, du développement et de la maintenance des systèmes, évaluation de l'efficacité des mesures, hygiène informatique et formation, chiffrement, sécurité des ressources humaines, contrôle des accès et gestion des actifs, authentification multifacteur.
Pour un incident important : une alerte précoce sous 24 heures et une notification sous 72 heures après en avoir pris connaissance, puis un rapport final au plus tard un mois après la notification. L'audit vérifie que vous savez le faire.
Déroulé
Six étapes, du cadrage à la restitution. Le calendrier est fixé au cadrage selon le nombre d'entités, de sites et la disponibilité de vos équipes.
Étape 1
Périmètre, entités, sites, activités critiques, interlocuteurs et documents disponibles.
Étape 2
Direction, informatique et métiers ; politiques, procédures, contrats fournisseurs, traces de décisions et de contrôles.
Étape 3
Par exemple comptes à privilèges, authentification multifacteur, sauvegardes ou exposition sur Internet, selon les risques repérés au cadrage.
Étape 4
Chaque écart est relié à l'exigence qu'il concerne et classé selon son impact et l'effort de correction.
Étape 5
Actions, responsables proposés et ordre de traitement, pour que l'équipe informatique sache par où commencer.
Étape 6
Une présentation en langage clair pour arbitrer, puis une séance technique avec votre équipe informatique.
Pour qui
Où en est la France
NIS2 est une directive européenne, pas une norme. En France, la loi qui la transpose, dite loi Résilience, a été adoptée par le Sénat le 12 mars 2025, et la commission spéciale de l'Assemblée nationale l'a adoptée le 10 septembre 2025. Elle n'a pas encore été votée en séance publique ni promulguée : retirée de l'ordre du jour des 7 et 9 octobre 2026, elle n'a pas de nouvelle date. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) publie une version de travail du Référentiel Cyber France (ReCyF) sur son espace NIS2. Faire l'audit maintenant vous laisse le temps de corriger.
Certification NIS2
Il n'existe aucune « certification NIS2 » officielle pour les entreprises. NIS2 demande des mesures et des preuves, pas un label. Trois choses sont souvent confondues :
Méfiez-vous de toute offre qui promet de « certifier » votre entreprise NIS2.
Budget
Le prix dépend du nombre d'entités et de sites, de vos systèmes et fournisseurs critiques, des documents déjà en place et de la profondeur des contrôles techniques. Pour une PME éligible, le Diag Cyber de Bpifrance peut être un premier pas financé (8 800 € HT, 50 % pris en charge, soit 4 400 € HT restant à votre charge, sous réserve d'éligibilité). Ce diagnostic n'est pas un audit NIS2 complet.
Demander un devis d'audit NIS2Questions fréquentes
Un audit NIS2, ou audit de conformité NIS2, mesure l’écart entre vos pratiques et les exigences de la directive (UE) 2022/2555. Il vérifie d’abord si NIS2 s’applique à vous, puis examine la gouvernance (article 20), les mesures de sécurité (article 21) et votre capacité à notifier un incident (article 23). Vous recevez un rapport d’écarts priorisé et un plan de correction présenté à la direction. Ce n’est pas une certification.
Non. Aucune certification NIS2 officielle n’est délivrée aux entreprises, ni par l’ANSSI ni par un prestataire. La conformité se démontre par des preuves : décisions de la direction, mesures en place, contrôles et gestion des incidents. La certification ISO 27001 est une démarche volontaire distincte ; elle aide, mais ne vaut pas conformité NIS2. Les certificats de type « lead implementer » attestent la formation d’une personne, pas la conformité d’une entreprise.
La directive classe les organisations concernées en deux catégories selon leur taille et leur secteur. Les grandes entreprises des secteurs hautement critiques (énergie, transports, santé, banque, eau, infrastructures numériques…) sont en principe des entités essentielles ; les entreprises moyennes de ces secteurs, et celles des autres secteurs critiques visés, sont des entités importantes. Les mesures de sécurité s’appliquent aux deux ; le contrôle et le plafond des sanctions diffèrent.
Pas encore en droit français. La directive européenne est entrée en vigueur, mais la loi française qui la transpose, dite loi Résilience, n’est pas promulguée au 4 novembre 2026 : adoptée par le Sénat le 12 mars 2025 et par la commission spéciale de l’Assemblée nationale le 10 septembre 2025, elle attend son vote en séance publique. L’ANSSI publie déjà une version de travail de son référentiel ReCyF pour se préparer.
L’audit NIS2 compare votre organisation aux obligations de la directive : gouvernance, mesures de gestion des risques et notification des incidents. L’audit ISO 27001 compare votre système de management de la sécurité à une norme volontaire, en vue d’une certification. Les deux se recoupent largement : une analyse d’écarts bien menée peut servir aux deux démarches, mais chacune a ses propres critères.
L’audit NIS2 est proposé sur devis. Le prix dépend du nombre d’entités et de sites, de vos systèmes et fournisseurs critiques, des documents déjà en place et de la profondeur des contrôles techniques. Pour une PME éligible, le Diag Cyber de Bpifrance peut être un premier pas financé : 8 800 € HT, pris en charge à 50 %, soit 4 400 € HT restant à votre charge. Ce diagnostic n’est pas un audit NIS2 complet.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
