Guides · Mis à jour en août 2026
Audit de risque NIS 2 : par où commencer sans gros budget
Réponse courte : ne commencez ni par un achat, ni par un devis de prestation — commencez par ce que vous avez déjà. Gérôme Billois (Wavestone) le dit sans ambiguïté : « il est possible de faire beaucoup de choses avec des moyens très limités », parce que « de nombreux équipements ou systèmes en place disposent déjà de fonctions de sécurité bien souvent désactivées ou méconnues ». La première marche de NIS 2 est un travail de regard, pas de budget.
Pourquoi ce point de départ n'est pas un pis-aller
On pourrait croire que « faire avec l'existant » est la version pauvre de la conformité. C'est l'inverse : le constat du régulateur est que le socle de base manque — « ce sont des mesures basiques, mais qui ne sont pas, hélas, complètement généralisées » (Emmanuel Naëgelen, ANSSI). Autrement dit, l'écart le plus fréquent ne se comble pas avec un outil de plus, mais avec de l'hygiène : des fonctions activées, des accès revus, des sauvegardes testées. Billois en tire la règle de méthode : « plutôt que d'acheter systématiquement des solutions nouvelles, il faut se livrer à une phase de réflexion pour exploiter déjà au maximum les solutions déjà en place ».
Geste 1 — Inventorier ce qui existe, y compris ce qui dort
Listez vos systèmes qui comptent (ceux dont l'arrêt ferait mal à l'activité), qui y accède, et ce que vos équipements savent déjà faire en matière de sécurité — y compris les fonctions jamais activées : journalisation, authentification renforcée, chiffrement, cloisonnement. Cet inventaire est le matériau de tout le reste, et il ne coûte que du temps. Les « feuilles de route inachevées » comptent aussi : les experts d'Advens recommandent explicitement de « ressortir des feuilles de route inachevées » — ce plan de sécurisation commencé il y a deux ans est un actif, pas un aveu.
Geste 2 — S'évaluer sur un référentiel public, pas sur une intuition
Le même conseil d'Advens : « s'évaluer sur des référentiels connus ». En France, le référentiel de place existe depuis le 17 mars 2026 : ReCyF, publié par l'ANSSI — 20 objectifs pour les entités essentielles, 15 pour les entités importantes, avec un comparateur vers les cadres que vous utilisez peut-être déjà. Passez votre inventaire en face de chaque objectif et notez trois états : couvert, partiellement couvert, non couvert. Ce que contient ReCyF et comment s'en servir — et si vous ne savez pas encore si vous relevez des 20 ou des 15 objectifs, vérifiez d'abord votre catégorie.
Geste 3 — Dater, assumer les écarts, et n'acheter qu'ensuite
Le livrable de cette première passe n'est pas un dossier parfait : c'est un état daté, avec des écarts assumés et un ordre de traitement. C'est lui qui rend le budget défendable — vous ne chiffrez plus « la cybersécurité », vous chiffrez des écarts nommés (la méthode d'estimation détaillée). Et c'est lui qui rassure un client qui pose la question : un « 16 objectifs sur 20, plan d'action sur les 4 restants » daté vaut mieux qu'un « tout va bien » invérifiable.
Ce que NewShield ajoute à cette méthode
Ces trois gestes tiennent dans un tableur — au début. Ce qui s'use, c'est la mise à jour, la trace datée de chaque progrès, et la production d'une preuve présentable à chaque demande. NewShield structure exactement cela : votre état des lieux sur les objectifs du référentiel, son évolution datée, et l'attestation vérifiable qui en sort. Le tableur reste possible ; il ne sait juste pas répondre à un client dans la matinée.
Découvrir NewShield et voir une attestation type →
Pour aller plus loin
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle ; il ne remplace pas un audit mené par un professionnel. Citations issues de la presse professionnelle citée, propos datés. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.