Comparatif
Conformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?
En résumé
Une démarche de conformité (ISO 27001, NIS 2) vérifie que vous avez mis en place une organisation, des politiques et des mesures conformes à un référentiel. Une démarche de sécurité technique vérifie que vos systèmes résistent à une attaque. Les deux ne se substituent pas : on peut être conforme et vulnérable, ou solide et non conforme. Si une obligation ou un client vous impose un référentiel, la conformité s’impose ; sinon, commencez par mesurer votre exposition technique.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Démontrer une organisation conforme à un référentiel.
Démarche de conformité
Gouvernance, politiques, analyse de risques, preuves de contrôle, avec un référentiel (ISO 27001, NIS 2) comme grille. Elle répond à « puis-je démontrer que mes mesures sont organisées et conformes ? ».
- Prix
- À partir d’un cadrage de périmètre sur devis, puis un temps interne conséquent. Le coût monte avec le nombre d’entités, de sites et le niveau de preuve attendu.
- Durée
- Plusieurs mois pour une démarche complète
Ce que cela apporte
- Répond à une obligation légale ou contractuelle (NIS 2, exigence d’un donneur d’ordre).
- Structure l’organisation : rôles, procédures, revue de direction, gestion des incidents.
- Donne un langage commun entre direction, métiers et technique.
- Reconnue par les clients, les assureurs et les régulateurs.
Ce que cela ne fait pas
- Mesure l’existence de mesures, pas leur résistance à une attaque réelle.
- Un périmètre mal choisi peut être conforme tout en laissant l’essentiel hors champ.
- Charge interne importante : documentation, preuves, revues, sur la durée.
- Ne dit pas si l’application la plus exposée contient une faille exploitable.
Vérifier que vos systèmes résistent à une attaque.
Démarche de sécurité technique
Tests d’intrusion, audits cloud et d’infrastructure, audit de code : des analystes attaquent vos systèmes et démontrent ce qui est exploitable. Elle répond à « un attaquant réussirait-il, et par où ? ».
- Prix
- À partir de 1 290 € pour un audit cloud ou une API, 1 490 € pour un test d’intrusion web, 2 400 € pour l’interne et Active Directory. Le prix monte avec le périmètre et le niveau de preuve.
- Durée
- 2 à 15 jours par mission
Ce que cela apporte
- Mesure la résistance réelle, avec des preuves d’exploitation.
- Produit des corrections précises et priorisées.
- Coût d’entrée accessible et résultat rapide.
- Cible les systèmes qui portent le risque.
Ce que cela ne fait pas
- Ne répond pas, seule, à une obligation de conformité ou à une exigence de certification.
- Ne structure pas l’organisation : sans gouvernance, les corrections s’essoufflent.
- Photographie d’un périmètre, pas de l’ensemble de l’organisation.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | Démarche de conformité | Démarche de sécurité technique | Avantage |
|---|---|---|---|
| Ce qui est vérifié | L’existence et l’organisation des mesures. | La résistance effective des systèmes. | égal |
| Réponse à une obligation légale ou contractuelle | Directe, avec le référentiel exigé. | Indirecte, comme preuve complémentaire. | Démarche de conformité |
| Détection d’une faille exploitable | Non : ce n’est pas son objet. | Cœur de la démarche. | Démarche de sécurité technique |
| Structuration de l’organisation | Forte : rôles, politiques, revues. | Faible, hors recommandations du rapport. | Démarche de conformité |
| Rapidité d’un premier résultat | Plusieurs mois pour une démarche complète. | Quelques semaines, avec un premier rapport actionnable. | Démarche de sécurité technique |
| Charge interne | Importante, sur la durée. | Un référent et des comptes de test, sur quelques jours. | Démarche de sécurité technique |
| Reconnaissance par les tiers | Forte, surtout avec une certification externe. | Forte pour les rapports de test, selon l’exigence du client. | égal |
Lequel dans votre situation
Prenez démarche de conformité si…
- Vous entrez dans le champ de NIS 2 ou d’une autre obligation réglementaire.
- Un donneur d’ordre ou un appel d’offres exige une certification ou un référentiel précis.
- Votre organisation n’a ni politique ni gouvernance sécurité formalisée.
- Vous voulez un cadre commun pour arbitrer des investissements sur plusieurs années.
Prenez démarche de sécurité technique si…
- Aucune obligation ne vous impose un référentiel à court terme.
- Vous voulez savoir si votre application ou votre infrastructure la plus exposée tient face à un attaquant.
- Vous avez déjà un référentiel en place et voulez en vérifier l’effet réel.
- Un incident ou une alerte vous oblige à agir vite sur le technique.
Et si la réponse était « les deux » ?
L’ordre dépend de la contrainte. Si une obligation vous impose un calendrier, lancez la conformité en parallèle d’un test d’intrusion sur les systèmes les plus exposés : la conformité structure, le test vérifie. Sans obligation, commencez par le technique, dont le résultat arrive en quelques semaines et oriente ensuite la démarche de conformité vers les risques prioritaires.
Ce qu’on nous demande ensuite
Peut-on être conforme et pourtant vulnérable ?
Oui. Un référentiel vérifie que des mesures existent et sont organisées, pas qu’elles résistent à une attaque. Un périmètre de certification restreint, une application critique laissée hors champ, ou une politique de mots de passe appliquée en théorie mais contournable en pratique suffisent à conserver une conformité formelle avec une faille exploitable. D’où l’intérêt de compléter par des tests techniques.
Un test d’intrusion suffit-il pour répondre à NIS 2 ?
Non. NIS 2 porte sur la gouvernance, la gestion des risques, la gestion des incidents et plusieurs mesures organisationnelles, pas seulement sur des tests techniques. Un test d’intrusion est une preuve utile dans ce dispositif, mais il ne remplace ni l’analyse de risques ni les politiques et procédures attendues. Vérifiez le périmètre exact de votre obligation avant d’arrêter un plan.
Par quoi commencer quand on a peu de ressources ?
Si une obligation ou un client l’impose, commencez par ce qu’il exige et ajoutez un test d’intrusion ciblé sur le système le plus exposé. Sinon, mesurez d’abord l’exposition technique, ce qui prend quelques semaines et donne des priorités concrètes. Une démarche de conformité complète est lourde : mieux vaut l’engager en connaissant ses risques réels.
Prestations concernées
- PrestationConformité NIS 2Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
- PrestationPentest webSavoir ce qu’un attaquant obtiendrait sur votre application.
- PrestationAudit cloudDans le cloud, la plupart des incidents partent d’une mauvaise configuration.
- PrestationPentest interneSimuler ce qui se passe après l’ouverture de la première pièce jointe.
Autres arbitrages
- ComparatifInterne ou externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
- ComparatifScan ou pentest : le comparatifUn scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
- ComparatifNIS 2 ou ISO 27001NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début