Pour une ETI : des preuves attendues par les grands comptes et par NIS 2

Nous ne demandons pas de changer. Un second regard a une valeur propre : deux équipes n’ont ni les mêmes méthodes ni les mêmes angles morts, et un rapport qui reconduit celui de l’année précédente ne mesure plus grand-chose. Rien n’empêche d’alterner les prestataires d’une année à l’autre, ou de nous confier un périmètre différent (annuaire, cloud, application) pour compléter l’existant. Nous disons au cadrage ce qui serait redondant.

Le RSSI valide le périmètre, les fenêtres et les interdits avant le début, et désigne qui est informé et qui ne l’est pas, ce qui est notre première question pour une mission red team. Les constats critiques lui sont remontés sans attendre le rapport, par le canal convenu. La restitution se fait avec son équipe et le SOC, y compris sur ce que la supervision a vu ou manqué. Nous travaillons pour lui, pas à sa place.

La réponse dépend de votre secteur d’activité et de votre taille. Au 10 novembre 2026, la loi française de transposition n’est ni définitivement adoptée ni promulguée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est examiné en première lecture à l’Assemblée nationale du 9 au 13 novembre 2026 (source : assemblee-nationale.fr). Ce texte précisera les critères, dont le statut se suit sur legifrance.gouv.fr et cyber.gouv.fr : un premier échange suffit souvent à lever le doute. Si vous êtes concerné, la directive demande de mesurer l’efficacité des mesures de gestion des risques, et un test d’intrusion ou un audit de configuration en produit la preuve. Il ne suffit pas à lui seul : gouvernance, notification d’incident et chaîne d’approvisionnement restent à traiter.

Oui, c’est même ce que le cadrage cherche à faire. La reconnaissance et la prise en main ne se paient qu’une fois : grouper des périmètres voisins coûte moins que des missions séparées. En pratique, on teste en profondeur un échantillon représentatif, une filiale, un site ou un tenant, et l’on vérifie ce qui s’étend aux autres : un défaut de configuration d’annuaire peut se retrouver à l’identique ailleurs. Le rapport précise ce qui a été testé et ce qui ne l’a pas été.

Un audit sur un domaine unique, avec un compte utilisateur standard, démarre à 2 400 € HT pour trois à quatre jours. Une forêt à plusieurs domaines, plusieurs sites ou des exigences de preuve particulières font monter le devis, de même que des contraintes d’horaires. Le prix final vient du cadrage, gratuit, après lecture de l’organisation de l’annuaire.