Le verdict en trois phrases
Une ETI classée entité importante au titre de NIS2 doit prouver que ses applications métier critiques sont protégées, surveillées et restaurables. Pour une application de suivi des expéditions, la mise à niveau type coûte 15 000 à 45 000 EUR HT et se déroule en 2 à 4 mois. Face à une amende pouvant atteindre 7 M EUR ou 1,4 % du chiffre d'affaires mondial, le chantier se finance largement par le risque évité.
Ce que NIS2 exige concrètement d'une application métier
La directive, transposée en France par la loi de résilience et pilotée par l'ANSSI, ne fixe pas de liste de technologies. Elle impose des mesures de gestion des risques proportionnées. Pour une application web utilisée par les exploitants, les transporteurs et parfois les clients, cela se traduit par six chantiers vérifiables lors d'un contrôle.
| Mesure | Ce que l'auditeur vérifie | Effort type | Coût indicatif 2026 |
|---|---|---|---|
| Authentification multifacteur (MFA) | MFA sur comptes admin et accès externes, SSO si possible | 5 à 10 jours | 3 000 à 7 000 EUR HT |
| Journalisation centralisée | Logs horodatés, conservés 12 mois, envoyés vers un SIEM | 6 à 12 jours | 4 000 à 9 000 EUR HT |
| Gestion des vulnérabilités | Scan des dépendances, correctifs critiques sous 15 jours | 4 à 8 jours + suivi | 2 500 à 6 000 EUR HT |
| Plan de continuité et sauvegardes | Sauvegardes chiffrées, test de restauration, RTO documenté | 5 à 10 jours | 3 000 à 8 000 EUR HT |
| Gestion des accès | Revue des rôles, principe du moindre privilège | 3 à 6 jours | 2 000 à 5 000 EUR HT |
| Test d'intrusion | Pentest applicatif externe et rapport de correction | 5 à 8 jours | 5 000 à 10 000 EUR HT |
L'ordre compte. La MFA et la journalisation ferment les deux portes les plus exploitées (vol d'identifiants, attaque non détectée). Le pentest arrive en fin de parcours pour valider les corrections, pas pour découvrir des failles connues.
Trois scénarios de budget selon l'état de départ
Le coût dépend surtout de la dette technique. Une application récente avec un framework maintenu se met à niveau vite. Une application de 10 ans sans tests automatisés demande parfois de refondre l'authentification avant d'ajouter la MFA.
| Profil de l'application | Durée | Budget HT | Récurrent annuel |
|---|---|---|---|
| Récente, framework à jour, hébergement cloud | 2 mois | 15 000 à 22 000 EUR | 4 000 à 6 000 EUR |
| 5 à 8 ans, dépendances partiellement obsolètes | 3 mois | 22 000 à 35 000 EUR | 6 000 à 9 000 EUR |
| Plus de 10 ans, hébergement sur site, pas de tests | 4 mois | 35 000 à 45 000 EUR | 8 000 à 12 000 EUR |
| Option SIEM managé (SOC externe) | En parallèle | 0 EUR de build | 12 000 à 30 000 EUR |
| Option PRA avec site secondaire | 1 mois de plus | 6 000 à 12 000 EUR | 3 000 à 6 000 EUR |
Le récurrent couvre la veille de vulnérabilités, la mise à jour des dépendances, la revue trimestrielle des accès et un test de restauration annuel. Un contrat de maintenance sans ces livrables ne suffit pas à démontrer la conformité.
Délais réglementaires à intégrer dans l'application
NIS2 impose une notification d'incident en trois temps à l'autorité : alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois. L'application doit donc produire les éléments de preuve rapidement : journaux exploitables, chronologie, périmètre touché. Sans journalisation centralisée, reconstituer un incident prend souvent plus de 72 h, ce qui place l'entreprise en défaut dès le premier incident.
Mini cas pratique
Thomas, directeur des opérations d'une ETI logistique de 420 salariés près de Lille, pilote une application de suivi des expéditions vieille de 7 ans, utilisée par 180 internes et 60 transporteurs. Diagnostic : aucune MFA pour les transporteurs, logs locaux effacés après 30 jours, 14 dépendances avec vulnérabilités critiques.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Plan retenu : MFA et SSO (6 000 EUR), journalisation vers un SIEM (7 500 EUR), correction des dépendances (5 000 EUR), sauvegardes et test de restauration (5 500 EUR), revue des accès (3 000 EUR), pentest final (7 000 EUR). Total : 34 000 EUR HT sur 3 mois, plus 8 000 EUR par an de maintien. Avec un chiffre d'affaires de 95 M EUR, l'amende théorique maximale serait de 1,33 M EUR (1,4 %). Une seule journée d'arrêt de l'application coûte par ailleurs environ 40 000 EUR de pénalités transporteurs et de retards clients : le chantier est rentabilisé dès le premier incident évité.
FAQ
Comment savoir si mon ETI est une entité importante NIS2 ?
Le critère combine secteur (transport, logistique, industrie, services numériques...) et taille : à partir de 50 salariés ou 10 M EUR de chiffre d'affaires. L'ANSSI met à disposition un outil d'auto-évaluation en ligne pour confirmer le statut.
La MFA est-elle obligatoire pour tous les utilisateurs ?
La directive cite l'authentification multifacteur parmi les mesures attendues. En pratique, elle est exigée sur les comptes à privilèges et les accès externes, soit souvent 30 à 40 % des comptes ; l'étendre à tous coûte rarement plus de 1 500 EUR supplémentaires.
Combien de temps conserver les journaux ?
Une conservation de 12 mois est l'ordre de grandeur recommandé en 2026, avec 6 mois consultables rapidement. Le stockage associé coûte en général 50 à 300 EUR par mois selon le volume.
Faut-il refaire l'application plutôt que la mettre à niveau ?
Si la mise à niveau dépasse 60 % du coût d'une refonte, la refonte devient préférable. Pour une application de suivi d'expéditions, une refonte se situe entre 80 000 et 150 000 EUR HT, donc la mise à niveau reste presque toujours plus rentable.
Qui est responsable en cas de manquement ?
NIS2 engage la responsabilité des dirigeants, qui doivent approuver les mesures et suivre une formation. Le prestataire de développement doit fournir les preuves techniques, d'où l'intérêt d'un contrat qui liste les livrables de sécurité.
Parlons de votre projet. Envoyez-nous le périmètre de votre application et son état technique : nous chiffrons la mise à niveau NIS2 par lot, avec budget indicatif et calendrier de 2 à 4 mois. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
