Votre client est soumis à la directive NIS2 et vous envoie son premier questionnaire de sécurité ? La question suivante arrive vite : combien va coûter la mise à niveau ? Bonne nouvelle, pour une PME de 10 à 50 salariés, l’essentiel des exigences repose sur cinq prestations connues, dont plusieurs peuvent être partiellement financées ou gratuites.
NIS2 oblige les entités essentielles et importantes à sécuriser leur chaîne d’approvisionnement. Leurs fournisseurs, eux, n’ont pas d’obligation légale directe. Mais ils doivent apporter des preuves à leurs clients. Voici ce qu’on vous demandera, et ce que cela représente.
Le diagnostic, point de départ obligé
Avant d’investir, il faut savoir où l’on en est. Le donneur d’ordre attend un état des lieux récent et un plan d’action priorisé. Deux options existent, selon votre maturité.
La plus accessible est MonAideCyber, un service de l’ANSSI : un « aidant cyber » formé par l’agence réalise gratuitement un diagnostic d’environ une heure et demie. C’est une bonne première marche pour une TPE peu équipée. Plus complet, un audit organisationnel et technique mené par un cabinet privé comme Sécurité Off coûte en général entre 2 000 et 6 000 € HT selon la taille et la profondeur. Comptez un renouvellement tous les uns à deux ans.
Former les équipes et verrouiller les accès
La majorité des attaques commence par un courriel piégé ou un mot de passe volé. Vos clients le savent et demanderont deux choses : des salariés sensibilisés, et des accès protégés.
Côté formation, les plateformes d’e-learning couplées à des campagnes de faux hameçonnage coûtent environ 10 à 40 € HT par salarié et par an. Un atelier de 2 heures en présentiel ou en visio (pour 10 salariés), comme ceux de Sécurité Off coute autour de 500 € HT. Pour démarrer sans budget, le MOOC SecNumacadémie de l’ANSSI est gratuit. Conservez les attestations de participation : ce sont elles que le client réclamera. Mais êtes-vous prêt à suivre un MOOC ?
Côté protection de vos comptes, un gestionnaire de mots de passe professionnel (intégrant la double authentification ou MFA), comme celui proposé (…et que nous avons approuvé après de nombreux tests réels sur différents profils d’utilisateurs) de Sécurité Off, coûte quelques euros par utilisateur et par mois. Pour les comptes administrateurs, des clés physiques à 30 à 80 € pièce renforcent la protection. Prévoyez 500 à 2 000 € HT de déploiement par votre prestataire.
Sauvegardes et gestion d’incident : prouver qu’on sait réagir
NIS2 impose aux entités régulées d’alerter l’autorité dans les 24 heures suivant un incident significatif. Si l’attaque part de chez vous, votre client voudra donc être prévenu encore plus vite. Il exigera aussi la garantie que vous pouvez redémarrer. D’où l’intérêt de disposer d’un contrat avec un SOC (Security Operations Center, un centre des opérations de sécurité chargé de surveiller, détecter, analyser et répondre aux cybermenaces en continu, 24/7). Celui de Sécurité Off vous coutera entre 15 et 25 euros par mois et par poste de travail (dont votre active directory-AD).
Des sauvegardes externalisées, dont une copie hors ligne, coûtent environ 5 à 15 € HT par poste et par mois, ou 1 000 à 5 000 € HT par an pour un petit parc. Elles s’intègrent souvent au contrat d’infogérance existant. L’essentiel est de tester la restauration chaque trimestre : une sauvegarde jamais testée ne prouve rien.
Reste à écrire noir sur blanc qui fait quoi en cas d’attaque : contact d’alerte, délais de notification, étapes de reprise. Un accompagnement pour rédiger la procédure d’incident et le plan de continuité représente 2 000 à 8 000 € HT. Un exercice de crise simulé, pour vérifier que tout fonctionne, ajoute 2 000 à 5 000 € HT.
Les cinq prestations en un coup d’œil
| Prestation | Ce que le donneur d’ordre vérifie | Coût indicatif (€ HT) | Fréquence | Aides et alternatives |
| Diagnostic ou audit de cybersécurité | Un état des lieux récent et un plan d’action priorisé | 2 000 à 6 000 selon la taille de l’entreprise | Initial, puis tous les 1 à 2 ans | MonAideCyber (ANSSI) : gratuit. Audit Cybersécurité de Sécurité Off : 8 800, dont 4 400 de reste à charge |
| Formation et sensibilisation des salariés | Des sessions régulières et une preuve de participation | Session de 10 salariés / an (atelier de 2 h + campagnes de phishing) : 500 à 1000 | Annuelle | MOOC SecNumacadémie de l’ANSSI : gratuit |
| Gestionnaire de mots de passe et double authentification | Des mots de passe uniques et la MFA sur les messageries, VPN et accès distants | Gestionnaire + MFA : 4 à 8 par utilisateur et par mois. | Abonnement mensuel | Déploiement par votre prestataire ou Sécurité Off |
| Sauvegardes externalisées et testées | Des sauvegardes hors ligne et des tests de restauration réussis | 5 à 15 par poste et par mois, ou 1 000 à 5 000 par an pour un petit parc | Continue, test trimestriel | Souvent intégrable au contrat d’infogérance existant |
| Procédure de gestion d’incident et plan de continuité | Un contact d’alerte, des délais de notification, un plan de reprise écrit | 2 000 à 8 000 d’accompagnement | Initial, revue annuelle | Exercice de crise simulé : 2 000 à 5 000 en option |
Ordres de grandeur pour une PME de 10 à 50 salariés, à confirmer par un devis de Sécurité Off.