La cybersécurité comme une hygiène, pas comme une panique.

NIS2 vise des secteurs listés (énergie, transport, santé, eau, infrastructures numériques, administration, mais aussi fabrication, agroalimentaire, gestion des déchets, services postaux, fournisseurs de services numériques) au-delà de certains seuils de taille — typiquement 50 salariés ou 10 M€ de chiffre d'affaires — avec des exceptions par nature d'activité. Deux catégories en découlent : entités essentielles et entités importantes, aux obligations proches mais au régime de contrôle différent. Et même hors périmètre direct, beaucoup de PME sont touchées par ricochet : leurs clients concernés leur imposent des exigences contractuelles. Notre quiz d'éligibilité NIS2 donne une première réponse en 8 questions.

Quatre blocs. Une gouvernance du risque assumée par la direction, qui doit être formée et peut voir sa responsabilité engagée. Des mesures techniques et organisationnelles proportionnées : analyse de risque, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle d'accès, authentification à plusieurs facteurs. Une obligation de notification : alerte précoce sous 24 h, rapport d'incident sous 72 h. Enfin, la capacité à prouver tout cela — c'est-à-dire de la documentation. La bonne nouvelle : ces exigences recoupent largement une hygiène de sécurité que toute PME devrait avoir de toute façon.

Un test d'intrusion consiste à attaquer votre système avec votre autorisation écrite, pour révéler ce qu'un attaquant réel pourrait exploiter. Nous travaillons en boîte grise (avec un compte utilisateur standard) sur l'application, ses API et son infrastructure, en suivant les méthodologies OWASP. Le livrable n'est pas une liste d'alertes d'outil automatique : c'est un rapport avec preuve d'exploitation, criticité notée selon le référentiel CVSS 4.0, impact métier expliqué et plan de remédiation priorisé. Un test qui ne dit pas quoi corriger en premier ne sert à rien.

Le budget dépend de la surface à tester (une application, ses API, son infrastructure cloud, les postes de travail), de la profondeur retenue, de la présence d'exigences de conformité (NIS2, DORA, questionnaire client, cyber-assurance) et du besoin de retest après correction. Nous chiffrons au forfait fixe après un échange de cadrage, avec un devis gratuit sous 24 h. Ce que nous refusons : vendre des outils avant d'avoir compris ce que vous protégez et contre qui — le modèle de menace précède toujours la dépense.

Non, et pour deux raisons distinctes. L'antivirus par signatures ne détecte plus les attaques modernes, qui détournent des outils légitimes du système : le standard actuel est l'EDR, qui analyse les comportements. Quant aux sauvegardes, les rançongiciels ciblent d'abord celles qui sont accessibles depuis le réseau, précisément pour vous forcer à payer. Une stratégie qui tient repose sur la règle 3-2-1-1-0 : trois copies, deux supports, une hors site, au moins une hors ligne ou immuable, et zéro erreur à la restauration — restauration testée, sans quoi la sauvegarde reste une hypothèse.

Trois réflexes, dans cet ordre. Contenir : isoler les machines touchées du réseau sans les éteindre, afin de préserver les traces. Qualifier : déterminer ce qui est atteint, si des données personnelles sont concernées, si l'activité est interrompue. Notifier : la CNIL sous 72 h en cas de violation de données personnelles, l'autorité compétente sous 24 h si vous relevez de NIS2, votre assureur, et déposer plainte. Ce qu'il ne faut pas faire : réinstaller dans la précipitation — vous détruiriez les preuves et, souvent, laisseriez la porte d'entrée ouverte. Sous contrat de maintien en condition de sécurité, nous nous engageons à répondre en moins de 4 h.

Oui, et précisément à cause de cette taille. Les attaques les plus courantes ne visent personne en particulier : elles balaient Internet à la recherche de failles connues, d'accès distants exposés, de mots de passe issus de fuites publiques. Une PME est atteinte parce qu'elle est vulnérable, pas parce qu'elle a été choisie. S'y ajoute un phénomène qui monte : la compromission d'un fournisseur pour atteindre ses clients — raison pour laquelle NIS2 impose la sécurité de la chaîne d'approvisionnement. L'ANSSI documente ces tendances dans son panorama annuel de la cybermenace.

Par ce qui bloque la majorité des attaques opportunistes, dans cet ordre : authentification à plusieurs facteurs sur les accès distants et les comptes d'administration (par clé ou passkey, pas par SMS), correctifs de sécurité appliqués sans délai sur les systèmes exposés, sauvegardes hors ligne testées, EDR sur les postes, suppression des accès inutiles et des comptes d'anciens collaborateurs, et une formation courte mais répétée des équipes. Aucun outil coûteux là-dedans — surtout de la rigueur. Le pentest, le SIEM et la gouvernance formelle viennent après, quand ce socle est en place.