Le verdict en trois phrases
Une ETI industrielle de 900 salariés entre dans le périmètre NIS2 comme entité importante, et ses applications web métiers (portail fournisseurs, MES, extranet clients) deviennent des cibles réglementaires autant que techniques. Le socle minimal tient en quatre chantiers : audit applicatif, MFA généralisée, journalisation centralisée et procédure de notification sous 24 h. Comptez un budget global de 35 000 à 70 000 € HT sur 6 à 9 mois, à comparer à des amendes pouvant atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.
Ce que NIS2 change concrètement pour vos applications métiers
La transposition française de la directive NIS2 impose aux entités importantes des mesures de gestion des risques proportionnées. Pour une ETI industrielle, les applications web sont le point d'entrée le plus exposé : comptes partagés, mots de passe faibles, API sans authentification forte, journaux inexistants. L'ANSSI attend une démarche documentée, pas une perfection immédiate.
| Exigence NIS2 | Traduction applicative | Coût indicatif 2026 (HT) |
|---|---|---|
| Analyse de risques | Cartographie des applications et des flux | 4 000 à 8 000 € |
| Contrôle d'accès | MFA sur toutes les applications exposées, SSO | 6 000 à 15 000 € |
| Détection des incidents | Journalisation centralisée, alertes, supervision | 5 000 à 12 000 € |
| Gestion des vulnérabilités | Audit applicatif et test d'intrusion annuel | 8 000 à 15 000 € |
| Notification | Alerte précoce sous 24 h, rapport sous 72 h | 2 000 à 4 000 € (procédure) |
| Chaîne d'approvisionnement | Clauses sécurité chez les prestataires | 1 500 à 3 000 € (juridique) |
| Formation | Sensibilisation des dirigeants et des équipes | 3 000 à 6 000 € |
La responsabilité des dirigeants est engagée personnellement : la direction doit approuver les mesures et suivre une formation. C'est un argument fort pour obtenir le budget en comité de direction.
Prioriser : quel chantier lancer en premier
Tout faire en même temps dilue le budget et épuise l'équipe informatique, souvent réduite à 4 ou 6 personnes dans une ETI de cette taille. L'ordre ci-dessous maximise la réduction du risque par euro dépensé.
| Priorité | Chantier | Délai | Réduction du risque estimée |
|---|---|---|---|
| 1 | MFA et suppression des comptes partagés | 3 à 5 semaines | Très forte (vol d'identifiants) |
| 2 | Audit applicatif des 3 applications critiques | 4 à 6 semaines | Forte |
| 3 | Correction des failles critiques et élevées | 6 à 10 semaines | Forte |
| 4 | Journalisation centralisée et alertes | 6 à 8 semaines | Moyenne à forte |
| 5 | Procédure de notification et exercice de crise | 2 à 3 semaines | Moyenne (conformité) |
| 6 | Revue des contrats prestataires | 4 semaines | Moyenne |
Un point souvent sous-estimé : les applications développées sur mesure il y a 8 ou 10 ans reposent sur des frameworks obsolètes. L'audit révèle fréquemment qu'une montée de version coûte moins cher qu'une série de correctifs, avec un ordre de grandeur de 15 000 à 30 000 € HT pour une application de taille moyenne.
Mini cas pratique
Claire, RSSI d'une ETI de 900 salariés spécialisée dans l'usinage de précision près de Lyon, gère trois applications web : un portail fournisseurs, un extranet clients et un outil de suivi de production. Chiffre d'affaires : 160 millions d'euros. L'amende maximale théorique pour une entité importante est de 7 millions d'euros ou 1,4 % du chiffre d'affaires, le montant le plus élevé s'appliquant : avec 1,4 % de son chiffre d'affaires à 2,24 millions d'euros, son plafond reste donc de 7 millions d'euros.
Son plan : audit des trois applications (12 000 €), MFA et SSO (10 000 €), corrections (18 000 €), journalisation (9 000 €), procédure et exercice (3 000 €), formation de la direction (4 000 €). Total : 56 000 € HT sur 8 mois, soit 0,8 % de l'amende maximale. S'y ajoute l'argument commercial : deux clients de l'automobile exigent déjà une preuve de conformité dans leurs appels d'offres.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Une ETI de 900 salariés est-elle forcément concernée par NIS2 ?
Si elle opère dans un secteur listé (fabrication de machines, équipements électriques, chimie, agroalimentaire, etc.) et dépasse 50 salariés ou 10 millions d'euros de chiffre d'affaires, oui. Au-delà de 250 salariés, elle peut même relever des entités essentielles selon le secteur.
Combien coûte un audit applicatif sérieux ?
Entre 8 000 et 15 000 € HT pour une application métier de taille moyenne, test d'intrusion inclus. Le prix dépend du nombre de rôles utilisateurs et d'API à tester, comptez 5 à 10 jours d'audit.
La MFA suffit-elle à se mettre en conformité ?
Non, mais elle réduit fortement le risque de compromission par vol d'identifiants. NIS2 exige une approche globale, avec détection, notification sous 24 h et gestion des vulnérabilités.
Faut-il réécrire nos applications anciennes ?
Pas systématiquement. L'audit permet de trancher : si plus de 30 % du code dépend de composants non maintenus, une refonte progressive est souvent plus rentable sur 3 ans.
Quel délai prévoir pour un premier niveau de conformité ?
Comptez 6 à 9 mois pour les quatre chantiers prioritaires dans une ETI, avec une équipe informatique interne de 4 à 6 personnes et un prestataire externe.
Parlons de votre projet. Audit de vos applications métiers, plan de remédiation chiffré et accompagnement NIS2 sur 6 à 9 mois, budget indicatif de 35 000 à 70 000 € HT. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
