Audit cybersécurité obligatoire : qui est concerné ?

La directive NIS2 (Network and Information Security 2), transposée en droit français en 2024, est le texte qui a le plus élargi le périmètre des entreprises soumises à des obligations de cybersécurité. Elle remplace la directive NIS1 de 2016 et concerne désormais un nombre beaucoup plus important d'organisations.

Qui est concerné ?

NIS2 s'applique à deux catégories d'entités dans 18 secteurs d'activité :

Les critères de taille sont : plus de 50 salariés OU plus de 10 millions d'euros de chiffre d'affaires annuel. Cependant, certaines entités sont concernées quelle que soit leur taille (fournisseurs de services DNS, registres de noms de domaine, prestataires de services de confiance).

En France, on estime que NIS2 concerne environ 15 000 à 20 000 entités, contre seulement 500 pour NIS1. Si votre PME opère dans l'un de ces secteurs et dépasse les seuils de taille, vous êtes très probablement concerné.

Quelles obligations d'audit ?

NIS2 impose aux entités concernées de mettre en place des "mesures de gestion des risques en matière de cybersécurité" proportionnées. Ces mesures incluent explicitement : les politiques d'analyse des risques et de sécurité des systèmes d'information, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, les politiques de test et d'audit.

Si le texte ne prescrit pas une fréquence d'audit spécifique, il impose une obligation de résultat en matière de gestion des risques qui implique nécessairement des évaluations régulières. Les autorités de contrôle (ANSSI en France) pourront exiger des audits et les réaliser elles-mêmes. Les sanctions peuvent atteindre 10 millions d'euros ou 2% du CA mondial pour les entités essentielles, et 7 millions d'euros ou 1,4% du CA pour les entités importantes.

Le règlement DORA (Digital Operational Resilience Act), entré en application le 17 janvier 2025, impose des exigences spécifiques de résilience numérique au secteur financier européen.

Entités concernées : banques, assurances, sociétés de gestion, établissements de paiement, plateformes de trading, prestataires de services crypto, mais aussi leurs prestataires informatiques critiques (cloud, éditeurs de logiciels, infogérants).

Obligations d'audit spécifiques : DORA impose explicitement la réalisation de tests de pénétration fondés sur la menace (TLPT - Threat-Led Penetration Testing) au moins tous les trois ans pour les entités les plus significatives. Ces tests doivent être réalisés par des testeurs qualifiés et indépendants, suivant le cadre TIBER-EU. De plus, DORA exige des tests de résilience réguliers incluant des scans de vulnérabilités, des tests d'intrusion et des tests de continuité d'activité.

Si votre PME est un prestataire informatique du secteur financier (infogérance, développement logiciel, hébergement cloud), vous pouvez être directement impacté par DORA à travers les exigences que vos clients vous imposeront en matière de sécurité et d'auditabilité.

Le RGPD ne mentionne pas explicitement le terme "audit cybersécurité", mais son article 32 impose la mise en place de "mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque". L'article 32 mentionne spécifiquement la nécessité d'une "procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement".

En pratique, cette obligation implique la réalisation régulière d'audits de sécurité et de tests d'intrusion, en particulier pour les systèmes qui traitent des données personnelles sensibles ou à grande échelle. La CNIL, dans ses contrôles, vérifie de plus en plus la réalité des mesures de sécurité techniques et organisationnelles, y compris l'existence d'audits récents.

Qui est concerné ? Toute entreprise qui traite des données personnelles, c'est-à-dire... quasiment toutes les entreprises. Les sanctions RGPD peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial, ce qui en fait la réglementation la plus lourde en termes de sanctions financières.

La Loi de Programmation Militaire (LPM) française impose des obligations de sécurité renforcées aux Opérateurs d'Importance Vitale (OIV). Ces organisations, dont la liste est classifiée, opèrent dans des secteurs vitaux pour la nation (énergie, télécommunications, santé, transport, alimentation, finances...).

Les OIV sont tenus de réaliser des audits de sécurité réguliers par des prestataires qualifiés PASSI par l'ANSSI. Ces audits couvrent spécifiquement les Systèmes d'Information d'Importance Vitale (SIIV) et doivent être réalisés à une fréquence déterminée par l'ANSSI.

Si votre PME est sous-traitante d'un OIV et que vous avez accès à ses SIIV, vous pouvez être soumis à des exigences d'audit indirectes par votre donneur d'ordres. De nombreux OIV imposent désormais à leurs fournisseurs critiques des niveaux de sécurité alignés sur leurs propres obligations.

En plus des réglementations transversales, certains secteurs ont leurs propres exigences :

Pour déterminer si votre entreprise est soumise à des obligations d'audit cybersécurité, posez-vous ces questions :

• Votre entreprise opère-t-elle dans l'un des 18 secteurs couverts par NIS2 ?
• Avez-vous plus de 50 salariés ou plus de 10 millions d'euros de CA ?
• Êtes-vous prestataire informatique d'entreprises du secteur financier ?
• Traitez-vous des données de cartes bancaires ?
• Hébergez-vous ou traitez-vous des données de santé ?
• Êtes-vous sous-traitant d'un OIV ou d'un opérateur de services essentiels ?
• Traitez-vous des données personnelles à grande échelle ?
• Vos clients ou partenaires exigent-ils des audits de sécurité ?

Si vous avez répondu oui à l'une de ces questions, vous avez très probablement des obligations d'audit cybersécurité. Même si vous n'êtes pas directement visé par un texte réglementaire, l'article 32 du RGPD impose à toute entreprise traitant des données personnelles de tester régulièrement ses mesures de sécurité.