Cadrage
Périmètre juridique — quelles entités du groupe sont concernées, dans quelle catégorie — puis périmètre technique : systèmes, sites, prestataires.
Prestation
Audit NIS 2 l'écart, mesuré
Un audit NIS 2 mesure l'écart entre vos mesures de sécurité réelles et les dix mesures de l'article 21 de la directive, puis rend un plan d'action classé par risque ; il ne délivre aucun label, car il n'en existe pas. Pour une PME sur un seul site, il dure en général de 2 à 5 jours et coûte de 3 000 à 15 000 € HT sur le marché français (tarifs affichés publiquement, octobre 2026). Chez White-Hat, la vérification technique s'appuie sur un test d'intrusion au prix du catalogue : Pentest Starter à 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours), Pentest Premium à 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours).
Vous préférez appeler ?+33 7 82 70 38 30
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Qui est concerné
Une entreprise d'au moins 50 salariés, ou dont le chiffre d'affaires et le total de bilan dépassent 10 M€, dont l'activité figure à l'annexe I ou II de la directive : énergie, transports, santé, eau, infrastructures numériques, services TIC aux entreprises, industrie manufacturière, agroalimentaire, déchets, chimie, services postaux, fournisseurs numériques, entre autres. Le test d'éligibilité applique ces critères en deux minutes.
Une PME hors périmètre a souvent besoin du même travail pour une autre raison : un client soumis à NIS 2 lui envoie un questionnaire de sécurité avant de renouveler son contrat. L'audit sert alors à répondre avec des preuves.
Le déroulé
Revue documentaire et entretiens
Confrontation des politiques existantes aux dix mesures de l'article 21. Ce qui est écrit, ce qui est appliqué, et l'écart entre les deux.
Vérification technique
Contrôle sur pièces : authentification, sauvegardes restaurables, cloisonnement, journalisation, exposition externe. On teste, on ne se contente pas de la déclaration.
Restitution
Un rapport en deux niveaux — une synthèse lisible par la direction, un détail exploitable par la DSI — et un plan d'action classé par risque et par effort.
Ce que contient le livrable
- La position de chacune de vos entités : hors périmètre, importante ou essentielle, avec le raisonnement.
- Une grille des dix mesures de l'article 21, notée sur des preuves et non sur des déclarations.
- Les écarts, classés par risque réel et par effort de correction.
- Le dispositif de notification d'incident : qui déclare, dans quel délai, avec quelles informations — testé, pas seulement rédigé.
- Les questions à poser à vos prestataires, prêtes à envoyer.
Ce que cet audit n'est pas
Ce n'est pas une certification : NIS 2 ne prévoit aucun label de conformité, et tout prestataire qui en vend un vous vend une fiction.
Ce n'est pas non plus un audit juridique. Nous qualifions votre situation au regard des critères de la directive et nous mesurons vos dispositifs techniques et organisationnels ; l'interprétation contentieuse relève d'un avocat.
Comment choisir son auditeur ou son pentester freelance
Un consultant indépendant convient à la plupart des PME. Ce qui compte n'est pas la taille du prestataire, mais ce qu'il peut montrer avant de signer.
- Des références vérifiables dans votre secteur ou à votre taille, et la possibilité d'en appeler une.
- Des certifications techniques reconnues pour la partie test (OSCP, OSWE, eWPTX…) ; la qualification PASSI seulement si un client, un marché public ou l'autorité l'exige.
- Un exemple de rapport anonymisé : une synthèse pour la direction, et pour chaque écart la preuve, l'impact et la correction.
- Le contre-test prévu au devis, pour vérifier que les corrections tiennent, et son prix écrit à l'avance.
- Une assurance responsabilité civile professionnelle couvrant les prestations de sécurité, avec l'attestation fournie sur demande.
- Une convention d'audit signée avant le premier test : périmètre, horaires, comptes de test, contact d'urgence.
- La personne qui fait réellement le travail : celle qui cadre doit être celle qui teste et qui restitue.
Budget
Les prix que publient les prestataires français (relevé d'octobre 2026) : de 3 000 à 8 000 € HT pour un diagnostic d'écart de 2 à 4 jours dans une PME de 50 à 250 salariés sur un seul site ; de 8 000 à 15 000 € HT pour un audit complet avec vérification technique ; de 12 000 à 25 000 € HT chez un prestataire qualifié PASSI ou pour un groupe multi-sites, sur 10 à 30 jours. Les forfaits à quelques centaines d'euros sont des questionnaires en ligne, pas des audits.
Chez White-Hat, l'audit d'écart est sur devis, après cadrage : le coût dépend du nombre d'entités, du nombre de sites et de la profondeur de vérification demandée. La partie test d'intrusion suit le catalogue : Pentest Starter à 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours) (1 site, 3 à 5 jours) et Pentest Premium à 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours) (jusqu'à 3 sites ou applications et l'infrastructure, 7 à 10 jours).
Le premier échange de trente minutes sert à dimensionner le périmètre et à vous dire, honnêtement, si un audit complet se justifie maintenant ou si deux ou trois chantiers suffisent d'abord.
Ce qu'on vous répond avant que vous demandiez.
Combien coûte un audit NIS 2 pour une PME ?
Sur le marché français, de 3 000 à 15 000 € HT pour une PME sur un seul site selon la profondeur de la vérification technique, et de 12 000 à 25 000 € HT chez un prestataire qualifié PASSI ou pour un groupe multi-sites (tarifs affichés publiquement, octobre 2026). Chez White-Hat, le prix est fixé au cadrage, après un premier échange de trente minutes.
Combien coûte un test d'intrusion pour une PME dans le cadre de NIS 2 ?
Chez White-Hat : Pentest Starter à 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours) pour un site en 3 à 5 jours, Pentest Premium à 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours) pour jusqu'à 3 sites ou applications et l'infrastructure en 7 à 10 jours. Active Directory, cloud et red team : sur devis. Le test couvre la mesure d'évaluation de l'efficacité de l'article 21, pas toute la conformité.
Comment choisir un pentester freelance pour un audit NIS 2 ?
Demandez des références vérifiables, ses certifications techniques, un exemple de rapport anonymisé, le prix du contre-test, son attestation d'assurance responsabilité civile professionnelle et une convention d'audit signée avant de commencer. Vérifiez aussi que la personne qui cadre est celle qui teste.
Combien de temps prend un audit NIS 2 ?
De 2 à 5 jours pour une entité unique et un système d'information simple, de 10 à 30 jours pour un groupe multi-sites. Le cadrage donne une fourchette ferme avant de commencer.
Faut-il un prestataire qualifié PASSI pour un audit NIS 2 ?
Non, la directive n'impose pas de qualification à l'auditeur. Une qualification PASSI peut être exigée par l'autorité pour un contrôle d'entité essentielle ou par un client ; sinon, un auditeur indépendant qui note vos mesures sur des preuves suffit.
Un audit NIS 2 donne-t-il une certification ?
Non. NIS 2 ne prévoit aucun label de conformité. L'audit rend la position de vos entités, une grille des dix mesures de l'article 21 notée sur des preuves, et un plan d'action priorisé.
Faut-il refaire l'audit chaque année ?
La directive demande d'évaluer l'efficacité des mesures dans la durée, pas de repasser un examen annuel. En pratique, un point de contrôle annuel et une reprise après tout changement majeur — refonte, migration cloud, acquisition — suffisent.
Pouvez-vous corriger ce que vous trouvez ?
Oui, sur la partie technique. Nous le disons d'emblée pour que ce soit clair : un auditeur qui vend ensuite la correction n'est pas indépendant. Si vous voulez séparer les deux, nous vous remettons un plan d'action assez précis pour qu'un autre prestataire l'exécute.
Vous voulez savoir où vous en êtes vraiment ?
Trente minutes pour cadrer votre périmètre et vous dire ce qui manque en priorité. Sans engagement, et sans vous vendre un label qui n'existe pas.
Source : directive (UE) 2022/2555, et FAQ de l'ANSSI pour l'avancement de la transposition française. Cette page est informative et ne constitue pas un conseil juridique.