Mise en conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
Réponse courte
Conformité NIS 2 : de quoi s’agit-il, pour qui, à quel prix ?
Analyse d’écarts, plan de mise en conformité et constitution du dossier de preuves pour NIS 2 ou un questionnaire de sécurité client. Durée indicative : 3 à 9 mois selon le périmètre et le niveau de départ. Prix d’entrée : à partir de 1 900 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
La conformité peut produire deux choses très différentes : un classeur de procédures que personne n’ouvre, ou un socle de sécurité que l’on peut démontrer. L’écart entre les deux ne vient pas du référentiel, mais de la façon dont le chantier est mené.
La mission part d’une analyse d’écarts honnête : ce qui est en place, ce qui est déclaré mais pas appliqué, ce qui manque. Puis elle construit un plan qui priorise les exigences ayant un effet réel sur le risque, et traite la documentation comme la trace d’une pratique existante, pas comme un substitut.
Pour NIS 2 : définition, les sujets qui coincent sont presque toujours les mêmes : gouvernance et responsabilité de la direction, maîtrise de la chaîne d’approvisionnement, délais de notification d’incident, et capacité à prouver ce que l’on affirme.
Un piège fréquent est de traiter la conformité comme un projet qui se termine. Les référentiels attendent des preuves dans la durée : revues périodiques, exercices, suivi des actions correctives, revue de direction. Un dossier parfait au jour de l’audit et sans vie ensuite ne tient pas à la surveillance suivante. Le plan prévoit donc dès le départ qui tient chaque preuve et à quel rythme elle est renouvelée.
En résumé
- Durée indicative
- 3 à 9 mois selon le périmètre et le niveau de départ
- Prix
- à partir de 1 900 € HTpour une analyse d’écarts et un plan ; accompagnement ensuite au forfait
- Référentiels appliqués
- NIS 2ISO/IEC 27001:2022ISO/IEC 27002ANSSIRGPD
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Conformité NIS 2 : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Analyse d’écarts
État des lieux exigence par exigence, avec distinction claire entre ce qui est appliqué et ce qui n’est que documenté.
Gouvernance
Rôles et responsabilités, implication de la direction, politiques, gestion des risques, indicateurs de suivi.
Mesures techniques
Gestion des accès, chiffrement, sauvegardes, journalisation, gestion des vulnérabilités, continuité d’activité.
Chaîne d’approvisionnement
Évaluation des fournisseurs, clauses contractuelles, suivi des prestataires critiques.
Incidents et notification
Procédures de détection, de qualification et de notification dans les délais réglementaires, testées par exercice.
Dossier de preuves
Constitution et tenue des preuves : un dossier qui résiste à un audit, parce qu’il décrit une pratique réelle.
Conformité NIS 2 : que livre la mission ?
- Analyse d’écarts détaillée, exigence par exigence
- Plan de mise en conformité priorisé et chiffré
- Politiques et procédures rédigées pour votre organisation, sans reprise de modèles génériques
- Dossier de preuves structuré et tenable dans le temps
- Préparation aux audits et accompagnement pendant leur déroulement
Qu’est-ce que cela change pour vous ?
- Une trajectoire de conformité datée, avec des jalons réalistes
- Des questionnaires clients traités en heures plutôt qu’en semaines
- Des mesures appliquées, et prouvables
Conformité NIS 2 : pour qui est-ce utile ?
- Entités essentielles ou importantes au sens de NIS 2
- Éditeurs à qui leurs clients imposent ISO 27001
- Fournisseurs soumis à des questionnaires sécurité de plus en plus lourds
- Organisations voulant structurer leur sécurité sans bureaucratie inutile
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Conformité NIS 2 : combien de temps dure la mission ?
Durée indicative : 3 à 9 mois selon le périmètre et le niveau de départ. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 900 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Conformité NIS 2 : ce qu’on nous demande
Sommes-nous concernés par NIS 2 ?
Cela dépend de votre secteur et de votre taille. Au 10 novembre 2026, la loi française de transposition n’est ni définitivement adoptée ni promulguée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est examiné en première lecture à l’Assemblée nationale du 9 au 13 novembre 2026 (source : assemblee-nationale.fr). Ce texte précisera les critères ; suivez son statut sur legifrance.gouv.fr et cyber.gouv.fr. Un premier échange suffit généralement à lever le doute. Dans tous les cas, une grande partie des exigences correspond à de bonnes pratiques qui réduisent le risque, que vous soyez assujettis ou non.
Délivrez-vous la certification ISO 27001 ?
Non, et personne ne peut à la fois accompagner et certifier : la certification est délivrée par un organisme accrédité indépendant. Nous préparons le système de management, les preuves et les équipes, puis nous vous accompagnons pendant l’audit de certification.
La conformité NIS 2 s’arrête-t-elle à notre propre organisation ?
Non, c’est l’un des points qui surprennent. La directive (UE) 2022/2555 demande de traiter la sécurité de la chaîne d’approvisionnement, ce qui signifie que vos obligations atteignent aussi vos fournisseurs et prestataires directs. Une entité concernée doit donc pouvoir montrer qu’elle a évalué ses fournisseurs critiques, inscrit des exigences de sécurité dans les contrats et défini ce qui se passe quand l’un d’eux subit un incident. Inversement, si vous êtes vous-même fournisseur d’une entité assujettie, vous pouvez recevoir ces exigences par voie contractuelle sans être soumis à la directive. Nous aidons à cartographier ces dépendances dans les deux sens, ce qui évite de découvrir la question au moment d’un audit client.
Faut-il choisir entre NIS 2 et ISO 27001, ou les mener ensemble ?
Il n’y a pas à choisir : les deux se recoupent largement sur la gestion des risques, et une seule analyse d’écarts peut les confronter. NIS 2 est une obligation légale pour les entités concernées, avec des délais de notification d’incident et une responsabilité de la direction. ISO 27001 est une norme volontaire, certifiable par un organisme tiers. Nous commençons par établir lequel vous est imposé, puis ce qu’un client exige, avant de décider d’une certification.
Mon entreprise financière est-elle concernée par DORA plutôt que par NIS 2 ?
Cela dépend de votre activité et de votre taille. DORA est un règlement européen applicable depuis le 17 janvier 2025 aux entités financières listées à son article 2, et il traite de la résilience numérique de façon spécifique. Pour ces entités, il tient lieu de cadre propre pour plusieurs sujets que NIS 2 couvre ailleurs. La qualification exacte relève de votre juriste ou de votre autorité de supervision : nous cartographions ensuite les exigences techniques de tests, d’incidents et de fournisseurs.
Pour comprendre avant de décider
- ArticleRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
Quelles prestations s’y associent ?
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
de quelques jours à un accompagnement au trimestredès 990 €
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Sensibilisation
Des équipes qui savent quoi faire devant un message douteux.
sessions de 1 à 3 h ; campagnes sur 3 à 12 moisdès 490 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Conformité NIS 2 » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début