NIS2 impose-t-elle un test d’intrusion ? Ce que disent les textes pour une PME

La question revient dans presque tous les échanges avec des dirigeants de PME : NIS2 rend-elle le test d’intrusion obligatoire ? La réponse courte est non, pas en tant que tel. La directive ne prononce jamais le mot « pentest ». Elle impose en revanche d’évaluer l’efficacité de ses mesures de sécurité et de traiter ses vulnérabilités, et le référentiel français en préparation fait du test d’intrusion l’une des formes possibles de l’audit exigé des entités essentielles. Voici ce que disent précisément les textes, ce qui s’applique à une PME selon sa catégorie, et comment s’y préparer sans attendre la loi.

Que dit exactement la directive NIS2 sur les tests de sécurité ?

La directive (UE) 2022/2555, dite NIS2, fixe en son article 21 une liste de mesures minimales que les entités essentielles et importantes doivent mettre en œuvre. Deux d’entre elles concernent directement les tests. Le point e) vise « la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités ». Le point f) impose « des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques ». Autrement dit, la directive n’impose pas une technique, elle impose un résultat : savoir si vos protections fonctionnent, et le démontrer.

Le règlement d’exécution européen va-t-il plus loin ?

Oui, mais seulement pour certains acteurs. Le règlement d’exécution (UE) 2024/2690 précise les mesures de l’article 21 pour les fournisseurs de services numériques : cloud, centres de données, fournisseurs de services gérés (MSP), fournisseurs de services de sécurité gérés, places de marché et prestataires de confiance. Son annexe consacre un point entier aux tests de sécurité (point 6.5). Ces entités doivent adopter une politique de tests, déterminer leur nécessité, leur portée, leur fréquence et leur type à partir de l’analyse des risques, consigner les résultats, puis corriger les constats critiques. Le considérant 15 cite explicitement les tests d’intrusion parmi les formes possibles.

Où en est la transposition de NIS2 en France ?

La France n’a toujours pas transposé la directive, dont l’échéance était fixée au 17 octobre 2024. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025, puis voté en commission spéciale à l’Assemblée nationale le 10 septembre 2025. Son examen en séance, prévu début octobre 2026, a été retiré de l’ordre du jour sans nouvelle date. Une fois la loi promulguée, des décrets et arrêtés devront encore préciser les exigences. L’ANSSI invite toutefois les entités concernées à agir dès à présent, sans attendre la publication de l’ensemble des textes.

Que demande le référentiel ReCyF de l’ANSSI ?

Pour préparer la transposition, l’ANSSI a publié le 17 mars 2026 le ReCyF (Référentiel Cyber France), encore présenté comme un document de travail. Son objectif de sécurité 17 porte sur l’audit de la sécurité des systèmes d’information. Il prévoit un programme d’audit dont la profondeur et la fréquence tiennent compte de l’analyse de risques (17.1), et précise que chaque audit comprend au minimum une activité parmi les suivantes : test d’intrusion, audit de configuration, audit d’architecture, audit organisationnel et physique, ou audit de code (17.3). Le rapport doit lister les vulnérabilités identifiées, et un plan d’action daté doit suivre (17.4 et 17.5).

Cet objectif d’audit s’applique-t-il à toutes les PME concernées ?

Non, et c’est le point le plus souvent mal compris. Dans la version 2.5 du ReCyF, l’objectif 17 est attendu des entités essentielles uniquement. Les entités importantes n’y sont pas soumises. Or la plupart des PME concernées par NIS2 seront classées entités importantes : selon l’ANSSI, il s’agit des entités d’un secteur visé qui emploient au moins 50 personnes ou réalisent un chiffre d’affaires et un bilan supérieurs à 10 millions d’euros, sans atteindre les seuils des entités essentielles (250 personnes, ou plus de 50 millions d’euros de chiffre d’affaires et 43 millions de bilan).

Une entité importante peut-elle alors se passer de tests ?

En droit, elle n’est pas tenue de réaliser un audit au sens de l’objectif 17. En pratique, d’autres exigences du ReCyF s’appliquent bien aux entités importantes et sont difficiles à tenir sans tester. L’objectif 5 leur demande de maintenir une cartographie de leurs systèmes, d’assurer une veille sur les vulnérabilités, d’engager sans délai l’installation des correctifs, puis de les appliquer sans retard injustifié sur les ressources exposées à Internet (moyens 5.A.1, 5.B.3 et 5.B.4). Sans test, une PME sait rarement quels serveurs sont réellement exposés, ni si un correctif a bien été appliqué partout. Le test est le moyen le plus direct de le constater.

Que risque une PME qui ne peut pas démontrer ses mesures ?

La directive prévoit des amendes administratives d’un montant maximal d’au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial pour les entités importantes, et d’au moins 10 millions d’euros ou 2 % pour les entités essentielles, le montant le plus élevé étant retenu (article 34). La directive engage aussi la direction : selon l’article 20, les organes de direction approuvent les mesures de sécurité, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Ils doivent aussi suivre une formation. Pour un dirigeant, la question n’est donc pas seulement technique : il devra pouvoir montrer ce qui a été vérifié.

Quel type de test choisir, et à quelle fréquence ?

Les textes laissent ce choix à l’analyse des risques, ce qui est une liberté autant qu’une responsabilité. Pour une PME, une progression raisonnable commence par la surface exposée sur Internet, que vise en priorité le moyen 5.B.4 du ReCyF. Viennent ensuite le réseau interne et l’annuaire Active Directory, au cœur de la plupart des attaques par rançongiciel. Un test automatisé, relancé chaque mois ou après chaque changement important, permet de suivre l’application des correctifs dans le temps. Un audit manuel ponctuel, ou une prestation qualifiée PASSI pour une entité essentielle, complète le dispositif sur les systèmes les plus critiques.

Quelles preuves conserver en vue d’un futur contrôle ?

Le règlement 2024/2690 donne une bonne trame, même pour les entités qui n’y sont pas soumises : consigner le type, la portée, la date et les résultats de chaque test, avec l’évaluation de la criticité et les mesures prises pour chaque constat (point 6.5.2). Concrètement, conservez :

• la politique de tests et sa justification par l’analyse des risques ;
• les rapports de chaque campagne, datés et archivés ;
• le plan d’action, avec un responsable et une échéance par correction, comme l’exige le moyen 17.5-EE ;
• la preuve de la correction, idéalement un nouveau test montrant la faille fermée ;
• la trace de la validation par la direction.

Que change NIS2 pour les prestataires informatiques ?

Les prestataires sont concernés deux fois. D’abord directement : la directive range la gestion des services TIC entre entreprises parmi les secteurs hautement critiques, et le règlement 2024/2690 impose aux fournisseurs de services gérés et de services de sécurité gérés une politique de tests de sécurité documentée (point 6.5). Ensuite par leurs clients : le ReCyF demande aux entités importantes comme essentielles de s’assurer que la prestation de leur fournisseur informatique respecte leurs obligations, puis de le vérifier périodiquement (moyens 3.B.1 et 3.B.2). Un infogérant devra donc démontrer la sécurité de ce qu’il gère, et pourra proposer à ses clients les tests qui leur manquent.

Questions fréquentes

Le test d’intrusion est-il obligatoire pour une entité essentielle ?

Pas strictement. Dans le ReCyF, l’audit de sécurité est obligatoire pour une entité essentielle, et il doit comprendre au minimum une activité parmi cinq, dont le test d’intrusion. Une entité essentielle pourrait donc choisir un audit de configuration ou d’architecture. En pratique, le test d’intrusion reste la seule de ces activités qui mesure ce qu’un attaquant peut réellement atteindre.

Un pentest automatisé est-il reconnu au titre de NIS2 ?

Les textes européens ne distinguent pas les méthodes : le règlement 2024/2690 mentionne indifféremment les tests automatisés ou manuels. Ce qui compte est la cohérence avec l’analyse des risques et la traçabilité des résultats. Pour l’audit des entités essentielles, le ReCyF exige un audit indépendant et cite la prestation qualifiée PASSI comme moyen acceptable. Un outil automatisé y contribue sans s’y substituer.

Faut-il attendre la loi française pour agir ?

Non. L’ANSSI recommande de s’y préparer dès maintenant, et les mesures du ReCyF correspondent à des bonnes pratiques de sécurité, utiles avec ou sans obligation. Une PME qui teste, corrige et documente aujourd’hui aura déjà constitué l’essentiel de ses preuves le jour où la loi entrera en vigueur. Elle aura aussi réduit son exposition réelle, ce qui reste le premier objectif de la directive.

Tester et documenter sans attendre

Zoumio Security permet de lancer des tests d’intrusion externes et internes, de prioriser les vulnérabilités selon leur risque réel d’exploitation et de suivre chaque correction jusqu’à sa vérification. Les rapports datés et le plan d’action constituent une base de preuves exploitable pour NIS2, que le module Conformité permet ensuite d’organiser. Les prestataires informatiques pilotent ainsi les tests de tous leurs clients depuis une seule console. Pour comprendre les différences entre méthodes, lisez aussi Pentest automatisé ou manuel : ce que chacun trouve, puis découvrez Zoumio Security.

Demander une démonstration de 20 minutes

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), articles 20, 21, 34 et 41, annexe I (EUR-Lex).
• Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, article premier, considérant 15 et annexe, point 6.5 (EUR-Lex).
• ANSSI, ReCyF – Référentiel Cyber France, version de travail 2.5 du 17 mars 2026, objectifs 3, 5 et 17 (messervices.cyber.gouv.fr).
• ANSSI, page Directive NIS 2 et Avancement de la transposition de la directive NIS 2 (messervices.cyber.gouv.fr, monespacenis2.cyber.gouv.fr).
• Next, « La transposition de NIS2 est de nouveau repoussée », octobre 2026 (next.ink).

Article rédigé par l’Équipe Zoumio, éditeur de la plateforme de pentest automatisé Zoumio Security, basé à Agen. Dernière mise à jour : novembre 2026. Cet article présente l’état des textes à cette date et ne constitue pas un avis juridique.