Directive (UE) 2022/2555
NIS 2
La directive (UE) 2022/2555 attend des entités qu’elle vise des mesures de gestion des risques et, à son article 21, l’évaluation de l’efficacité de ces mesures. Un test d’intrusion est la façon la plus directe de produire cette évaluation : il ne décrit pas vos mesures, il les met à l’épreuve.
Le marché français de NIS 2 est occupé par le conseil et la gouvernance. Nous faisons l’autre moitié du travail : nous testons votre système d’information comme le ferait un attaquant, puis nous remettons un rapport en français que vos équipes techniques, votre direction et un auditeur peuvent lire. Le contre-audit qui vérifie vos correctifs est inclus, sans surcoût.
Statut juridique
NIS 2 en France : où en est la transposition ?
État au 11 septembre 2026 — la directive (UE) 2022/2555 (NIS 2) n’est pas encore transposée en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d’examen parlementaire. L’ANSSI a mis à disposition le Référentiel Cyber France (ReCyF) le 17 mars 2026, diffusé à ce stade en tant que document de travail. Nous mettons cette page à jour à chaque étape.
Ce que cela signifie pour vous, concrètement : ni obligation d’enregistrement, ni échéance nationale, ni classification d’entité, ni plafond de sanction français ne peuvent aujourd’hui vous être présentés comme du droit applicable. Ce qui existe déjà, ce sont les objectifs de la directive européenne, et ils suffisent largement à savoir par où commencer. Nous travaillons donc en anticipation : nous testons ce que la directive demande d’évaluer, sans vous vendre une conformité à un texte qui n’est pas encore écrit. Le détail du parcours parlementaire est suivi dans notre article Où en est la transposition de NIS 2 en France ?
Dernière vérification : 11 septembre 2026.
Ils nous font confiance
Objectifs d’une préparation à NIS 2
La directive ne demande pas un document de plus. Son article 21 attend des mesures « appropriées et proportionnées » et, à son paragraphe 2, point f), des politiques et procédures permettant d’évaluer l’efficacité de ces mesures. Toute la difficulté tient dans ce verbe : évaluer. Une préparation utile poursuit donc des objectifs mesurables, pas déclaratifs.
- Mesurer l’écart réel entre les mesures énumérées à l’article 21 et ce qui est effectivement en place, système par système, plutôt qu’un questionnaire de maturité rempli de mémoire.
- Vérifier que les mesures tiennent : un cloisonnement réseau qui laisse passer, une authentification multifacteur contournable, une sauvegarde jamais restaurée figurent parmi nos constats les plus fréquents.
- Démontrer l’impact d’une exploitation réussie : accès à des données personnelles, prise de contrôle d’un compte à privilèges, interruption d’un service dont dépend votre activité.
- Éprouver la chaîne d’alerte avant qu’un incident réel ne la déclenche. L’article 23 de la directive prévoit une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures et un rapport final sous un mois.
- Constituer un dossier de preuve daté : périmètre, autorisation, constats, correctifs, contre-audit. C’est cet ensemble qu’un client grand compte, un assureur ou un auditeur demande à voir.
- Hiérarchiser les investissements. L’article 20 de la directive place la responsabilité des mesures sur les organes de direction ; encore faut-il leur dire ce qui doit être corrigé en premier, et à quel coût.
Ce même article prévoit également que les membres des organes de direction suivent une sensibilisation régulière aux risques numériques : nous traitons ce volet séparément, dans nos sessions de sensibilisation à la cybersécurité.
Si vous êtes déjà engagé dans une démarche ISO/IEC 27001, une partie substantielle du travail est faite : le système de management de la sécurité de l’information couvre une bonne part des mesures de l’article 21, sans les recouvrir toutes. Nous détaillons l’articulation des deux référentiels dans l’article ISO 27001 et NIS 2.
Les organisations qui commencent par tester plutôt que par documenter arriveront à la transposition avec des correctifs appliqués, et non avec un plan d’action. C’est la seule avance qui ne se rattrape pas en trois mois.
Article 21 de la directive → ce que nous livrons
Chaque ligne renvoie au texte européen, qui reste à transposer en droit français : il s’agit d’objectifs à anticiper, non d’obligations françaises en vigueur.
| Exigence de la directive | Ce que Haxoris livre |
|---|---|
| Art. 21, § 2, e) — sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités | Tests d’intrusion applicatifs, d’API et d’infrastructure conduits selon l’OWASP Top 10, le WSTG et l’ASVS. Chaque constat reçoit une criticité, une preuve d’exploitation reproductible et une correction chiffrée en effort. |
| Art. 21, § 2, f) — politiques et procédures permettant d’évaluer l’efficacité des mesures de gestion des risques | Un test indépendant qui mesure si les mesures déjà financées arrêtent réellement un attaquant, puis un contre-audit inclus qui atteste de la fermeture des vulnérabilités. C’est la boucle complète, pas le seul constat initial. |
| Art. 21, § 2, d) — sécurité de la chaîne d’approvisionnement | Tests des intégrations, des API et des composants tiers dont dépend votre service : configuration cloud, frontières d’identité, accès ouverts à vos prestataires, chaîne de construction logicielle. |
| Art. 21, § 2, i) et j) — hygiène informatique, cryptographie et authentification à plusieurs facteurs | Vérification offensive des socles : politique de mots de passe, contournement de l’authentification multifacteur, exposition des interfaces d’administration, chiffrement des flux et des sauvegardes, comptes de service oubliés dans l’Active Directory. |
| Art. 23 — notification des incidents | Les constats dont l’exploitation constituerait un incident important sont signalés comme tels dans le rapport. Vous rejouez une fois la chaîne d’alerte — 24 heures, 72 heures, un mois selon la directive — avant d’en avoir besoin pour de bon. |
Ces exigences sont celles de la directive européenne. Les obligations qui s’appliqueront en France découleront du texte de transposition, non promulgué à ce jour. Nous ne sommes ni une autorité de contrôle ni un organisme de certification, et nous ne portons aucun jugement de conformité : nous fournissons la démonstration technique.
Qui est concerné par NIS 2 ?
La directive couvre dix-huit secteurs et distingue deux catégories : les entités essentielles (EE) et les entités importantes (EI). La catégorie change surtout l’intensité de la supervision, beaucoup moins le contenu technique des mesures attendues.
Les seuils, la classification définitive et la procédure d’enregistrement relèveront du texte de transposition français, aujourd’hui en cours d’examen. Nous ne déterminons pas votre classification et nous ne nous substituons à aucune autorité. Une précision qui compte : si vous êtes fournisseur d’entités de ces secteurs, la question vous concerne aussi, par la chaîne d’approvisionnement — et souvent par contrat, bien avant toute obligation légale.
Types de tests : sur quel périmètre ?
Une préparation ne se joue pas sur une mission unique. Selon votre exposition et les services que vous devez tenir, nous combinons deux à quatre de ces tests ; le cadrage tranche, et le devis suit le périmètre retenu.
Approches : boîte noire, boîte grise et boîte blanche
L’approche décrit ce que l’équipe sait avant de commencer. Elle ne change pas le réalisme du test, mais la profondeur obtenue pour un même budget — et, dans un dossier de préparation à NIS 2, la nature de la preuve produite.
Boîte noire (black box)
Aucune information préalable : un nom de domaine ou une plage d’adresses IP, comme un attaquant extérieur. L’approche répond à la question « de quoi ai-je l’air vu d’Internet ? » et fait remonter les actifs oubliés : environnements de recette accessibles, interfaces d’administration publiées, vestiges d’un ancien projet. Sa limite est mécanique — ce qui n’est pas découvert n’est pas testé —, ce qui en fait une preuve incomplète au regard de l’article 21, § 2, point e).
Boîte grise (grey box)
Un compte par rôle applicatif et une documentation fonctionnelle sommaire. C’est l’approche que nous recommandons dans la grande majorité des préparations : elle reproduit le scénario qui se réalise vraiment — un attaquant disposant déjà d’un accès, obtenu par phishing, par un compte prestataire ou par réutilisation de mot de passe — et couvre l’ensemble des rôles dans le temps acheté. C’est aussi celle dont la couverture se lit le plus facilement par un tiers.
Boîte blanche (white box)
Comptes, schémas d’architecture, configurations et, le cas échéant, code source. Nous remontons du symptôme à sa cause au lieu de nous arrêter au constat. Approche indiquée pour les systèmes qui soutiennent un service essentiel, pour les composants développés en interne et pour une architecture récemment refondue. C’est la plus exigeante en préparation de votre côté, et la plus rentable en profondeur par jour acheté.
Aucune des trois n’est imposée par la directive : le choix se fait au cadrage, en fonction de ce que vous devez démontrer. Il figure ensuite noir sur blanc dans le rapport, parce qu’un lecteur extérieur doit savoir ce que l’équipe savait au départ pour interpréter correctement ce qu’elle a trouvé.
Notre méthodologie et le déroulement d’une mission
Nos missions suivent un déroulé stable, appuyé sur le PTES pour la conduite et sur les guides de l’OWASP pour le contenu : le WSTG pour le web, le MASTG pour le mobile, l’ASVS pour la vérification des exigences — nos méthodologies en détail. Les objectifs de sécurité du Référentiel Cyber France (ReCyF), diffusé par l’ANSSI le 17 mars 2026 en tant que document de travail, nous servent de grille de lecture complémentaire : nous en expliquons l’usage dans notre article sur l’objectif d’audit du ReCyF.
Cadrage et évaluation d’écart (Scoping)
D’une demi-journée à deux journées : nous confrontons les mesures de l’article 21 à votre inventaire réel, identifions les systèmes qui soutiennent vos services les plus exposés et retenons les tests qui apportent une preuve plutôt qu’une ligne de plus. Vous repartez avec un périmètre chiffré en jours-homme et en € HT.
Autorisation écrite (Rules of Engagement)
Rien ne commence sans mandat signé : cibles, exclusions, fenêtre d’intervention, profondeur d’exploitation autorisée, conduite à tenir en cas de découverte critique — nous vous alertons sans attendre le rapport. C’est ce document qui rend le test licite au regard des articles 323-1 et suivants du code pénal, et qui ouvre le dossier de preuve.
Reconnaissance et cartographie (Information Gathering)
Nous recensons ce qui est exposé et joignable : sous-domaines, services, technologies, points d’entrée d’API, dépendances fournisseurs, informations publiques exploitables. Il en sort une carte du périmètre et une liste de scénarios d’attaque plausibles, que nous validons avec vous avant d’aller plus loin.
Tests manuels et exploitation (Exploitation)
L’outillage sert à couvrir le périmètre ; les constats qui comptent viennent de l’enchaînement manuel de défauts isolés — un contrôle d’accès manquant, un jeton mal vérifié, une clé laissée dans un dépôt. L’exploitation s’arrête dès que l’impact est démontré, jamais au-delà.
Rapport et plan de remédiation (Reporting)
Chaque constat est daté, illustré, hiérarchisé et rattaché à la mesure de l’article 21 qu’il met en défaut, avec une correction concrète et un effort estimé. Le rapport devient une liste de travail affectable à des responsables, pas un document d’archive.
Restitution et contre-audit (Contre-audit)
Une heure en visioconférence avec le consultant qui a mené les tests, puis, après vos corrections, un contre-audit inclus dans les 90 jours qui atteste de la fermeture des vulnérabilités. C’est ce dernier document qui referme la boucle attendue par l’article 21, § 2, point f).
Livrables : rapport, restitution et contre-audit
Ce que vous achetez n’est pas une semaine de test, c’est ce qu’il en reste ensuite — et, pour une préparation à NIS 2, ce qui restera lisible dans dix-huit mois, devant quelqu’un qui n’était pas dans la salle. Quatre livrables, aucun en option.
Le rapport
Une synthèse managériale de deux pages : niveau de risque, constats majeurs, décisions à prendre, sans jargon — le format qu’attend une direction rendue responsable des mesures par l’article 20 de la directive. Puis une fiche par vulnérabilité : description, criticité CVSS et criticité métier, preuve d’exploitation reproductible, correction recommandée, effort estimé et renvoi vers la mesure de l’article 21 concernée. Les annexes donnent le périmètre, la méthode et la liste des tests menés, y compris ceux restés sans résultat — souvent la partie la plus utile devant un tiers. Livré en français, en PDF, avec un tableau de suivi importable.
La restitution
Une heure en visioconférence, animée par le consultant qui a réalisé les tests et non par un commercial. Vos développeurs posent leurs questions, nous rejouons au besoin une exploitation à l’écran, nous priorisons ensemble le plan de correction. Une seconde session, plus courte, peut être réservée au comité de direction lorsque le sujet remonte à ce niveau.
Le contre-audit
Après vos corrections, nous rejouons les tests sur les vulnérabilités identifiées et émettons un rapport de contre-audit attestant de ce qui est refermé et de ce qui ne l’est pas. Il est inclus dans le prix, sans surcoût, dans les 90 jours suivant la remise du rapport. C’est le seul document qui démontre qu’une mesure corrective fonctionne, et c’est aussi celui qui manque le plus souvent dans les dossiers qu’on nous soumet.
Le dossier de preuve
Mandat signé, note de cadrage, rapport, plan de remédiation et attestation de contre-audit forment un ensemble daté et cohérent. Nous ne délivrons ni certificat ni attestation de conformité — nous ne sommes ni une autorité ni un organisme de certification. Ce dossier constitue la partie technique que vous pourrez présenter le jour où la transposition française fixera vos obligations, et que vos clients vous demandent déjà aujourd’hui.
Pourquoi choisir Haxoris ?
Les offres françaises de préparation à NIS 2 sont presque toutes des missions de conseil et de gouvernance. Elles sont utiles. Elles ne disent simplement pas si vos mesures résistent. C’est la partie que nous prenons en charge — et voici sur quoi nous nous engageons.
Certifications de notre équipe
Contre-audit inclus, sans surcoût :
La vérification des correctifs fait partie de la mission, dans les 90 jours suivant le rapport, et donne lieu à un document attestant de la fermeture des vulnérabilités. À notre connaissance, aucun prestataire français ne l’inclut dans son prix.
Nos tarifs sont publics :
Nous publions nos fourchettes en € HT et notre unité de compte, le jour-homme, avant tout rendez-vous. Une préparation NIS 2 courante représente 8 à 20 jours-homme. Vous comparez sur des chiffres, pas sur des impressions.
Vous savez qui teste :
Le nom, le parcours et les certifications individuelles du consultant affecté (OSCP, OSEP, OSWE) vous sont communiqués avant la signature, et c’est cette même personne qui anime la restitution.
Prestataire européen :
Haxoris est une société établie dans l’Union européenne. Nos consultants interviennent depuis l’Union, les données de mission y sont stockées et supprimées à l’échéance contractuelle, et le RGPD nous est directement applicable : aucun mécanisme de transfert à construire.
Témoignages clients
Ce que nos clients disent de nous
Foire aux questions
01 Combien coûte un test d’intrusion dans le cadre d’une préparation NIS 2 ?
Le prix suit le périmètre, jamais le sigle. Un test d’intrusion d’application web démarre autour de 2 000 € HT. Une préparation complète — évaluation d’écart, test externe, test interne, une application métier, contre-audit compris — se situe le plus souvent entre 5 000 et 20 000 € HT.
Contrairement à l’usage du marché français, nos fourchettes et notre tarif journalier sont publiés : vous les consultez avant de nous parler. Après un cadrage d’une trentaine de minutes, vous recevez un devis ferme, détaillé jour par jour.
02 Combien de jours-homme faut-il prévoir ?
L’évaluation d’écart représente 1 à 3 jours-homme. Un test d’intrusion externe sur un périmètre de PME ou d’ETI, 3 à 5. Un test interne avec Active Directory, 5 à 10. Une application métier, 5 à 15 selon le nombre de rôles, d’API et de parcours à couvrir.
Une préparation NIS 2 courante additionne donc 8 à 20 jours-homme, répartis sur quatre à six semaines. Nous préférons vendre moins de jours sur un périmètre juste que l’inverse : un test étalé trop large ne démontre rien et coûte la même chose.
03 Boîte noire ou boîte grise ?
Boîte grise dans la grande majorité des cas. Le scénario qui se réalise n’est pas celui d’un inconnu absolu, c’est celui d’un attaquant qui dispose déjà d’un accès : identifiants obtenus par phishing, compte d’un prestataire, mot de passe réutilisé. Partir avec un compte par rôle permet de couvrir tous les niveaux de privilège dans le temps acheté.
La boîte noire garde son intérêt pour mesurer votre exposition sur Internet et retrouver des actifs oubliés ; nous l’intégrons généralement comme première journée d’une mission en boîte grise plutôt que comme une prestation séparée. La boîte blanche s’impose lorsque le système soutient un service essentiel et que la cause d’un défaut compte autant que son symptôme.
04 Le contre-audit est-il inclus ?
Oui, et sans surcoût. Après vos corrections, nous rejouons les tests sur les vulnérabilités identifiées et nous émettons un rapport de contre-audit attestant de ce qui est refermé et de ce qui ne l’est pas. Il est compris dans le prix de la mission, dans les 90 jours suivant la remise du rapport, et n’exige aucun bon de commande supplémentaire.
C’est le point sur lequel nous nous écartons franchement du marché français, où la vérification des correctifs est facturée comme une journée additionnelle. Sans elle, vous détenez un constat ; avec elle, vous détenez la preuve que la mesure fonctionne — exactement ce que l’article 21, § 2, point f), de la directive demande d’évaluer.
05 Faut-il faire appel à un prestataire qualifié ?
Non, ce n’est pas une obligation. La FAQ NIS2 de l’ANSSI l’écrit ainsi : « Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »
Disons-le sans détour : Haxoris ne détient aucune qualification délivrée par l’ANSSI et ne s’en prévaut pas. Nous ne soumissionnons pas non plus sur les contrôles ordonnés au titre de l’article L. 1332-6-3 du code de la défense, qui sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre ou par des prestataires de service qualifiés.
Pour une entreprise privée qui anticipe NIS 2, le choix du prestataire reste libre. Jugez-nous sur ce qui se vérifie : un exemple de rapport que vous pouvez lire avant de signer, les certifications individuelles des consultants, des tarifs publiés et un contre-audit inclus.
Dernière vérification : 11 septembre 2026.
06 La directive NIS 2 impose-t-elle un test d’intrusion ?
Non, pas nommément. L’article 21, paragraphe 2, de la directive énumère des mesures — analyse des risques, traitement des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, hygiène informatique, cryptographie, authentification à plusieurs facteurs — et son point f) demande des politiques et procédures permettant d’évaluer l’efficacité de ces mesures. Le test d’intrusion est le moyen usuel de produire cette évaluation, pas une obligation désignée par le texte.
La disposition européenne qui mentionne le test le plus explicitement reste l’article 32, 1, d) du RGPD : « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ». Si vous lisez quelque part que NIS2 impose un test d’intrusion annuel, cela ne figure ni dans la directive, ni à ce jour dans un texte français.
07 Sommes-nous concernés par NIS 2 ?
Cela dépend de votre secteur, de votre taille et, en dernier ressort, du texte de transposition français, qui n’est pas encore promulgué. Nous ne déterminons pas votre classification et nous ne l’annoncerons pas à la place du législateur ou de l’autorité qui sera désignée : personne, aujourd’hui, ne peut le faire honnêtement.
Ce que nous pouvons faire dès maintenant : examiner avec vous les dix-huit secteurs visés par la directive, vos seuils d’effectif et de chiffre d’affaires, et surtout votre position de fournisseur. Beaucoup d’organisations reçoivent leurs premières exigences NIS 2 par contrat, de la part d’un client concerné, bien avant toute obligation légale. Dites-nous ce que vous exploitez ; l’échange de cadrage est gratuit et sans engagement.
