Le verdict en trois phrases
Un sous-traitant industriel de plus de 50 salariés et 10 M€ de chiffre d'affaires dans la fabrication automobile entre en général dans le champ de NIS2 comme entité importante, et son portail fournisseurs exposé sur internet devient un point d'attention majeur. Le budget réaliste pour mettre cette application en conformité se situe entre 27 000 et 60 000 € HT sur 4 mois, audit, MFA, journalisation centralisée et procédure d'incident compris. Le coût de l'inaction est bien plus élevé : une amende pouvant atteindre 7 M€ ou 1,4 % du chiffre d'affaires mondial, et surtout le risque de perdre un donneur d'ordre qui exige déjà ces garanties dans ses contrats.
Êtes-vous concerné, et par quoi exactement ?
La directive NIS2 élargit fortement le périmètre de la cybersécurité réglementée en Europe. La fabrication de véhicules et de composants figure parmi les secteurs dits critiques. En France, l'ANSSI pilote la mise en œuvre et met à disposition un outil d'autodiagnostic pour savoir si l'on est entité essentielle ou importante.
Pour un sous-traitant de rang 1 ou 2 basé dans la métropole lilloise, avec 420 salariés, le classement en entité importante est le cas le plus fréquent. Les obligations portent sur toute l'entreprise, mais le portail fournisseurs (commandes, plans techniques, échanges de documents qualité) concentre les risques : il est accessible depuis internet, utilisé par des centaines de comptes externes et souvent développé il y a plusieurs années sans exigences de sécurité formalisées.
| Exigence NIS2 | Traduction concrète pour le portail | Niveau de priorité |
|---|---|---|
| Gestion des risques | Cartographie des données et des accès du portail | Élevé |
| Contrôle d'accès | MFA pour tous les comptes, revue trimestrielle des droits | Élevé |
| Journalisation | Logs centralisés et conservés 6 à 12 mois | Élevé |
| Gestion des incidents | Alerte précoce sous 24 h, notification sous 72 h | Élevé |
| Chaîne d'approvisionnement | Clauses sécurité avec l'hébergeur et le prestataire de développement | Moyen |
| Continuité d'activité | Sauvegardes testées, reprise en moins de 24 h | Moyen |
| Formation | Sensibilisation des utilisateurs et des dirigeants | Moyen |
NIS2 engage aussi la responsabilité des dirigeants : le comité de direction doit approuver les mesures de sécurité et suivre une formation. C'est un argument utile pour débloquer un budget.
Le budget poste par poste
Les chiffres ci-dessous sont des ordres de grandeur 2026 pour une application web de taille moyenne (200 à 800 comptes utilisateurs, une dizaine de modules). Ils varient selon l'état initial du code et de l'hébergement.
| Poste | Coût HT | Délai |
|---|---|---|
| Audit de conformité et analyse de risques | 8 000 à 15 000 € | 3 à 4 semaines |
| Test d'intrusion du portail | 5 000 à 10 000 € | 1 à 2 semaines |
| MFA, gestion des accès et SSO | 5 000 à 12 000 € | 3 à 5 semaines |
| Journalisation centralisée et alertes | 4 000 à 8 000 € | 2 à 3 semaines |
| Correctifs de sécurité applicative | 3 000 à 10 000 € | Selon l'audit |
| Plan de réponse à incident et exercice | 2 000 à 5 000 € | 2 semaines |
| Supervision mensuelle | 600 à 2 000 € par mois | Récurrent |
Le total initial se situe donc entre 27 000 et 60 000 €, avec une médiane autour de 35 000 € pour un portail en état correct. Le poste le plus sous-estimé est la correction applicative : un test d'intrusion sur une application ancienne remonte souvent des failles d'autorisation (un fournisseur qui accède aux documents d'un autre en modifiant un identifiant dans l'URL) qu'il faut corriger dans le code.
Le planning sur 4 mois
Mois 1 : audit et analyse de risques, inventaire des comptes, test d'intrusion. Mois 2 : déploiement de la MFA, nettoyage des comptes inactifs (souvent 20 à 30 % du total), mise en place du SSO pour les salariés internes. Mois 3 : journalisation centralisée vers un outil de type SIEM, règles d'alerte sur les connexions anormales, correctifs applicatifs. Mois 4 : rédaction du plan de réponse à incident, exercice de crise avec la direction, documentation pour l'autorité et les clients.
Le plan d'incident doit tenir sur quelques pages et répondre à une question simple : qui fait quoi dans les 24 premières heures. Il précise qui qualifie l'incident, qui contacte le CERT ou l'autorité, qui prévient les donneurs d'ordre, et comment le portail peut être isolé sans arrêter la production. Si votre portail échange aussi des données financières avec un logiciel comptable, les principes de file d'attente et de journal décrits dans notre article sur le connecteur Pennylane et Qonto s'appliquent également.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, DSI d'un sous-traitant de pièces plastiques pour l'automobile à Lille (420 salariés, 95 M€ de chiffre d'affaires), présente le dossier à son comité de direction. Le devis consolidé s'élève à 38 000 € HT : 12 000 € d'audit, 7 000 € de test d'intrusion, 9 000 € pour la MFA et les accès, 6 000 € pour la journalisation, 4 000 € pour le plan d'incident. La supervision coûte 1 200 € par mois, soit 14 400 € par an.
En face, l'amende maximale pour une entité importante est de 7 M€ ou 1,4 % du chiffre d'affaires mondial, soit 1,33 M€ pour ce montant. Mais l'argument décisif est commercial : le principal donneur d'ordre représente 30 % du chiffre d'affaires, soit 28,5 M€, et son nouveau contrat-cadre exige la MFA et un plan d'incident. Le budget de la première année, 52 400 €, représente 0,18 % du chiffre d'affaires protégé par ce seul client. Le comité valide en une séance.
FAQ
Comment savoir si mon entreprise est entité importante ou essentielle ?
Le classement dépend du secteur, de la taille (au moins 50 salariés ou 10 M€ de chiffre d'affaires) et du rôle dans la chaîne. L'ANSSI propose un outil de diagnostic en ligne, et l'audit initial confirme le statut en 1 à 2 semaines.
La MFA est-elle obligatoire pour les comptes fournisseurs externes ?
NIS2 impose des mesures de contrôle d'accès proportionnées, et la MFA est la mesure attendue pour une application exposée sur internet. Sur un portail de 500 comptes, le déploiement prend 3 à 5 semaines, en général par application d'authentification ou clé de sécurité.
Combien de temps faut-il conserver les journaux ?
Le texte ne fixe pas de durée unique, mais 6 à 12 mois est la pratique courante pour pouvoir analyser un incident découvert tardivement. Au-delà de 12 mois, le coût de stockage reste modeste, de l'ordre de quelques dizaines d'euros par mois pour un portail.
Que doit contenir la notification d'incident sous 24 h ?
L'alerte précoce indique la nature présumée de l'incident et s'il pourrait être malveillant ou avoir un impact transfrontalier. La notification complète suit sous 72 h, et un rapport final sous un mois.
Peut-on garder notre prestataire de développement actuel ?
Oui, à condition d'ajouter des clauses de sécurité au contrat : correction des failles critiques sous 5 à 10 jours, accès tracés, notification des incidents. NIS2 vous rend responsable de la sécurité de votre chaîne d'approvisionnement numérique.
Parlons de votre projet. Nous cadrons avec vous l'audit, les correctifs et le plan d'incident de votre portail pour une mise en conformité en 4 mois environ. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
