Coût conformité NIS 2 : budget réaliste pour une PME 2026

Depuis que la directive NIS 2 a commencé à produire ses effets concrets sur le tissu économique européen, une question revient dans chaque premier rendez-vous que nous menons avec un dirigeant de PME : combien cela va-t-il réellement coûter ? Les réponses disponibles en ligne oscillent entre le tract commercial anxiogène qui agite des amendes à sept chiffres et le billet de blog rassurant qui prétend qu'un tableur et un peu de bonne volonté suffiront. Ni l'un ni l'autre ne permet de construire un budget défendable devant un comité de direction. Cet article propose l'inverse : une décomposition poste par poste du coût réel d'une mise en conformité NIS 2, avec des fourchettes chiffrées par tranche d'effectif, une distinction claire entre dépense initiale et coût récurrent, un modèle de coût total de possession sur trois ans, et une comparaison honnête entre l'autonomie complète et l'accompagnement externalisé. Les montants qui suivent proviennent d'engagements réels menés auprès d'entreprises françaises de 10 à 400 salariés, anonymisés et arrondis. Ils ne sont pas des devis, mais ils vous éviteront de vous tromper d'un facteur trois.

Pourquoi la plupart des budgets NIS 2 sont faux dès le départ

L'erreur la plus fréquente consiste à budgéter NIS 2 comme un projet informatique. On demande trois devis d'outils, on additionne, on ajoute une ligne « conseil » au doigt mouillé, et on présente un chiffre. Six mois plus tard, le projet a dérapé de 60 % parce que personne n'avait provisionné le temps interne, la reprise documentaire, ou la mise à niveau contractuelle des fournisseurs.

NIS 2 n'est pas un achat de licences. C'est l'installation d'un système de gestion du risque cyber qui doit tenir dans la durée, avec des obligations de gouvernance, de notification d'incident, de continuité d'activité et de maîtrise de la chaîne d'approvisionnement. Le texte européen impose une obligation de résultat sur la gestion du risque, pas une liste de produits à acheter. C'est précisément ce qui rend le chiffrage difficile : deux entreprises de même taille peuvent afficher un écart de un à quatre selon leur maturité de départ.

Deuxième erreur : raisonner en coût de projet plutôt qu'en coût total de possession. Un audit initial est une dépense ponctuelle ; un plan de sensibilisation, une revue annuelle des fournisseurs et un test de plan de continuité sont des dépenses récurrentes. Confondre les deux conduit à sous-provisionner les années deux et trois, exactement au moment où l'autorité de contrôle est susceptible de demander des preuves de fonctionnement du dispositif.

Troisième erreur, la plus coûteuse : lancer les achats avant l'analyse d'écart. Nous avons vu une PME industrielle acquérir une solution de supervision à 28 000 € par an alors que ses trois écarts majeurs concernaient la gestion des comptes à privilèges, l'absence de procédure de notification et l'inexistence de sauvegardes hors ligne testées. Aucun de ces trois points n'était traité par l'outil acheté.

Première étape gratuite : déterminer si vous êtes concerné, et à quel titre

Avant tout chiffrage, il faut trancher une question de périmètre qui change tout le budget. La directive (UE) 2022/2555 distingue deux catégories d'entités régulées. Les entités essentielles relèvent des secteurs de haute criticité et dépassent généralement le seuil de la grande entreprise, soit 250 salariés ou 50 millions d'euros de chiffre d'affaires. Les entités importantes couvrent un périmètre sectoriel plus large à partir du seuil de la moyenne entreprise, soit 50 salariés ou 10 millions d'euros de chiffre d'affaires.

Cette distinction n'est pas cosmétique. Elle détermine le régime de supervision : contrôle proactif et audits possibles à l'initiative de l'autorité pour les entités essentielles, supervision essentiellement réactive, déclenchée par un incident ou un signalement, pour les entités importantes. Elle détermine aussi le plafond des sanctions administratives prévu par le texte européen : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour les entités essentielles, jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les modalités précises d'application, les délais et les éventuels aménagements relèvent du calendrier de transposition national et des lignes directrices publiées par l'ANSSI, qu'il faut suivre plutôt que se fier à des chiffres relayés de seconde main.

Un point souvent ignoré : une entreprise de 30 salariés peut être concernée sans atteindre les seuils, si elle est le fournisseur unique d'un service critique ou si elle opère une infrastructure dont la défaillance aurait un impact significatif. Inversement, beaucoup de PME de 120 salariés découvrent qu'elles ne sont pas directement régulées, mais que leurs donneurs d'ordre leur imposent contractuellement le même niveau d'exigence. Le budget est alors identique, seule l'origine de la contrainte change.

Poste 1 : l'audit initial et l'analyse d'écart

C'est la première dépense et la seule qu'il ne faut jamais sacrifier. L'analyse d'écart consiste à confronter vos pratiques réelles aux exigences de gestion du risque : politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, gestion des vulnérabilités, hygiène de base, sensibilisation. Elle produit un référentiel d'écarts hiérarchisés et un plan d'action chiffré.

Concrètement, la prestation comprend des entretiens avec la direction, la DSI ou le prestataire informatique, les responsables métier, une revue documentaire, un inventaire des actifs et des flux, et souvent un balayage technique de la surface exposée. Comptez de trois à quinze jours de consultant selon la taille et la complexité.

• 10 à 50 salariés, système d'information mono-site simple : 3 500 à 8 000 € pour un audit d'écart de trois à cinq jours.
• 50 à 250 salariés, plusieurs sites ou activité industrielle : 9 000 à 18 000 € pour six à dix jours, avec cartographie des actifs et revue des fournisseurs critiques.
• 250 salariés et plus, entité essentielle probable : 20 000 à 45 000 € pour douze à vingt jours, incluant généralement des tests techniques ciblés et une revue des systèmes industriels.

À cela s'ajoute, pour les organisations exposées, un test d'intrusion. Un test externe sur périmètre restreint se situe entre 5 000 et 9 000 €. Un test d'intrusion interne avec scénario de compromission d'annuaire, très pertinent au regard des exigences de contrôle d'accès, se situe entre 8 000 et 16 000 €. Ce n'est pas obligatoire au sens strict, mais c'est la preuve la plus convaincante que vous maîtrisez réellement votre risque, et cela conditionne souvent la prime d'assurance cyber.

Poste 2 : la formation et la sensibilisation

La directive impose explicitement que les organes de direction suivent une formation à la gestion des risques cyber et approuvent les mesures prises. Ce n'est pas une recommandation : c'est une obligation nominative qui engage la responsabilité des dirigeants. Le budget se découpe en trois blocs.

La formation des dirigeants et du comité de direction. Une session de une à deux journées, adaptée au secteur, coûte entre 1 800 et 4 500 € pour un groupe. Certains organismes proposent des formats courts en visioconférence à 900 € par participant. La formule collective sur site est presque toujours plus rentable au-delà de quatre participants et permet d'aborder les scénarios réels de l'entreprise.

La sensibilisation des collaborateurs. Les plateformes de sensibilisation en ligne avec modules courts et campagnes de faux hameçonnage se facturent entre 12 et 35 € par utilisateur et par an selon le niveau de service. Pour 80 salariés, comptez 1 500 à 2 800 € par an. Attention aux offres à 6 € par poste : elles se limitent souvent à une bibliothèque de vidéos sans campagne de simulation ni pilotage, ce qui ne produit aucune preuve exploitable en cas de contrôle.

La montée en compétence des équipes techniques. C'est le poste le plus variable. Une formation certifiante pour l'administrateur système référent coûte entre 2 500 et 5 000 €. Si vous exploitez des systèmes industriels, une formation dédiée à la sécurité des automates représente 3 000 à 6 000 € par personne.

Poste 3 : les outils techniques, là où les devis dérapent

C'est le poste sur lequel les éditeurs concentrent leur discours commercial, et c'est aussi celui où l'on dépense le plus inutilement. La règle que nous appliquons systématiquement : aucun achat d'outil avant que l'analyse d'écart n'ait démontré que l'écart ne peut pas être comblé par une reconfiguration de l'existant. Dans la moitié des engagements que nous menons, entre 30 et 50 % des exigences techniques sont couvertes par des fonctions déjà payées mais non activées dans les licences bureautiques ou l'infrastructure en place.

Voici les briques réellement structurantes au regard de NIS 2, avec leurs ordres de grandeur en France en 2026.

• Authentification multifacteur et gestion des identités : souvent incluse dans les suites bureautiques existantes. Si une solution dédiée est nécessaire, comptez 3 à 8 € par utilisateur et par mois.
• Protection des postes de travail de nouvelle génération (EDR) : 25 à 60 € par poste et par an en licence seule, 60 à 140 € par poste et par an en version supervisée par un prestataire.
• Sauvegarde immuable et testée, avec copie hors ligne : 2 000 à 12 000 € par an selon le volume, hors coût de stockage.
• Gestion des vulnérabilités et inventaire : 3 000 à 15 000 € par an.
• Centralisation des journaux et détection (SIEM ou service managé) : le poste le plus lourd. De 8 000 € par an pour une solution légère à 60 000 € et plus pour un service de détection et réponse externalisé fonctionnant en continu.
• Gestion des comptes à privilèges : 6 000 à 25 000 € par an.
• Chiffrement des postes et des supports amovibles : généralement inclus dans le système d'exploitation, coût nul hors temps de déploiement.

Pour une PME de 50 à 250 salariés partant d'une base saine, un socle technique cohérent se situe entre 18 000 et 45 000 € par an. En dessous de 50 salariés, un socle raisonnable tourne autour de 6 000 à 15 000 € par an. Au-delà de 250 salariés, avec une exigence de détection continue, la barre des 70 000 à 120 000 € annuels est vite atteinte dès lors qu'un service de surveillance managé entre dans le périmètre.

Poste 4 : la documentation et le système de management

C'est le poste le plus sous-estimé et pourtant le premier examiné en cas de contrôle. NIS 2 exige des politiques, des procédures et des preuves : politique de sécurité approuvée par la direction, analyse de risques documentée et révisée, procédure de gestion et de notification des incidents respectant les délais imposés, plan de continuité et de reprise d'activité, politique de gestion des accès, registre des actifs, exigences de sécurité contractualisées avec les fournisseurs critiques.

La production de ce corpus représente entre cinq et vingt-cinq jours de travail selon la taille et le point de départ. Deux options s'offrent à vous.

Option modèles. Des jeux de modèles documentaires spécialisés se vendent entre 600 et 2 500 €. Ils font gagner du temps, mais un modèle non adapté à votre réalité est un document mort : il ne résistera ni à un audit ni à une crise. Comptez malgré tout dix à quinze jours de travail interne pour les adapter sérieusement.

Option rédaction accompagnée. Entre 6 000 et 15 000 € pour une PME de 50 à 250 salariés, entre 3 500 et 7 000 € en dessous de 50 salariés, entre 18 000 et 40 000 € au-delà de 250 salariés. L'écart de prix se justifie par le nombre de processus à décrire et par la nécessité d'articuler la documentation avec les systèmes de management existants.

Un point d'arbitrage important : si vous visez également une certification ISO 27001, il est économiquement absurde de produire deux corpus documentaires. Le système de management de la sécurité de l'information couvre l'essentiel des exigences de gouvernance de NIS 2, et le surcoût de la certification se limite alors à l'audit de certification, soit 8 000 à 20 000 € pour une PME, plus les audits de surveillance annuels. Beaucoup de nos clients industriels combinent d'ailleurs cette démarche avec le référentiel AirCyber lorsqu'ils fournissent la filière aéronautique, ce qui mutualise une large part de l'effort documentaire.

Poste 5 : l'accompagnement consultant

Le tarif journalier moyen d'un consultant en sécurité de l'information en France se situe en 2026 entre 850 et 1 400 € pour un profil confirmé, entre 1 200 et 1 900 € pour un profil expert ou un associé de cabinet. Les grandes structures affichent des tarifs supérieurs sans que la qualité d'exécution suive nécessairement, car le travail est fréquemment délégué à des profils juniors.

Trois formats existent, et le choix a un impact budgétaire majeur.

• La mission ponctuelle au forfait : audit, rédaction documentaire, préparation d'un plan de continuité. Prévisible, mais laisse l'entreprise seule pour la mise en œuvre.
• L'accompagnement au fil de l'eau : un ou deux jours par mois pour piloter le plan d'action, soit 12 000 à 30 000 € par an. C'est le format qui offre le meilleur rapport résultat sur coût pour une PME de 50 à 250 salariés.
• Le RSSI externalisé : de 1 500 à 4 000 € par mois selon le volume de jours, soit 18 000 à 48 000 € par an. À comparer avec le coût complet d'un RSSI interne, entre 85 000 et 130 000 € par an charges comprises, sans compter le délai de recrutement de quatre à huit mois et le risque de départ.

Pour une PME de moins de 250 salariés, le calcul est presque toujours favorable à l'externalisation partielle. Le seuil de bascule vers un recrutement interne se situe empiriquement autour de 300 à 400 salariés, ou plus tôt si l'activité est fortement réglementée.

Le poste invisible : le temps de vos équipes

Aucun devis ne le mentionne, et c'est pourtant entre 25 et 40 % de l'effort total. Une mise en conformité NIS 2 mobilise le dirigeant, le responsable informatique, le responsable qualité, les référents métier et souvent le service achats pour la revue des contrats fournisseurs.

Nos observations sur des programmes menés à terme donnent les ordres de grandeur suivants sur les douze à dix-huit premiers mois : 20 à 35 jours-homme internes pour une entreprise de 10 à 50 salariés, 45 à 80 jours-homme pour 50 à 250 salariés, 90 à 180 jours-homme au-delà de 250 salariés. Valorisés à 400 € par jour en coût complet moyen, cela représente respectivement 8 000 à 14 000 €, 18 000 à 32 000 € et 36 000 à 72 000 €.

Ce coût est réel même s'il ne sort pas de la trésorerie. Ne pas l'afficher conduit à deux effets pervers : la direction croit que le projet est moins cher qu'il ne l'est, et les équipes se retrouvent surchargées sans arbitrage de priorités, ce qui est la première cause d'enlisement.

Tableau de coût total de possession sur trois ans

Voici la synthèse consolidée, en euros hors taxes, pour une entreprise partant d'un niveau de maturité moyen, c'est-à-dire disposant d'un système d'information géré, de sauvegardes existantes mais non testées, et d'aucune documentation formalisée. L'année 1 concentre l'effort de mise en place ; les années 2 et 3 correspondent au régime de croisière.

Les fourchettes sont larges, et c'est volontaire. Une entreprise de 120 salariés dont le système d'information est infogéré, homogène et récent se situera dans le bas de la fourchette. La même entreprise avec quinze ans de dette technique, trois sites, des automates non segmentés et aucun inventaire se situera dans le haut, voire au-delà.

Faire seul ou se faire accompagner : le calcul honnête

La question mérite mieux qu'une réponse commerciale. Faire seul est parfaitement possible, à trois conditions cumulatives : disposer en interne d'une compétence sécurité réelle et non d'un administrateur système polyvalent déjà saturé, pouvoir libérer cette personne à hauteur de 30 à 50 % de son temps pendant douze mois, et accepter un délai de mise en conformité plus long.

L'écart de coût complet est donc bien plus faible qu'il n'y paraît : entre 15 et 40 % seulement, pour un délai réduit de moitié. Le vrai différenciateur n'est pas le prix, c'est le coût d'opportunité du temps immobilisé et le risque d'un dispositif incomplet.

La formule intermédiaire, que nous recommandons à la majorité des PME, consiste à externaliser l'audit initial, la structuration documentaire et le pilotage mensuel, et à internaliser l'exécution technique et la sensibilisation. Elle ramène la dépense externe autour de 40 000 à 70 000 € la première année pour une entreprise de 120 salariés, tout en préservant l'appropriation interne, qui est la condition de la pérennité du dispositif.

Trois trajectoires budgétaires observées sur le terrain

Les profils qui suivent sont anonymisés et composites, mais les montants et les séquences correspondent à des engagements réels.

Les six erreurs qui font exploser le budget

1. Acheter avant d'auditer. Systématiquement 20 à 30 % de dépense inutile, et parfois des engagements pluriannuels impossibles à résilier.
2. Oublier la chaîne d'approvisionnement. La revue des fournisseurs critiques et l'avenant contractuel représentent souvent 10 à 20 jours de travail juridique et métier non provisionnés.
3. Traiter NIS 2 séparément du RGPD et des autres référentiels. Les analyses de risque, les registres et les procédures d'incident se recoupent à plus de 50 %. Deux chantiers séparés coûtent 60 à 80 % de plus qu'un chantier intégré.
4. Sous-dimensionner l'exploitation. Un outil de détection sans personne pour lire les alertes est une dépense pure. Il vaut mieux moins d'outils correctement exploités.
5. Ne pas provisionner les années 2 et 3. Les licences se renouvellent, les tests de continuité doivent être rejoués, la sensibilisation doit être reconduite, l'analyse de risque doit être révisée annuellement.
6. Confier le pilotage à quelqu'un sans mandat. Un chef de projet sans autorité pour arbitrer entre les priorités métier et les exigences de sécurité produit des retards qui coûtent plus cher que le programme lui-même.

Comment étaler la dépense sur vingt-quatre mois

La bonne nouvelle, c'est que rien n'oblige à tout financer sur un seul exercice. Une séquence en quatre vagues permet d'obtenir un dispositif défendable dès le douzième mois tout en lissant la trésorerie.

Mois 1 à 3, environ 15 % du budget. Analyse de périmètre, audit d'écart, plan d'action chiffré et priorisé, formation de la direction. C'est l'investissement qui conditionne tous les autres et il ne doit jamais être compressé.

Mois 4 à 9, environ 45 % du budget. Traitement des écarts critiques : authentification multifacteur généralisée, sauvegardes immuables testées, durcissement de l'annuaire, procédure de notification d'incident opérationnelle, plan de continuité rédigé et testé une première fois. C'est le bloc qui réduit le plus le risque réel par euro dépensé.

Mois 10 à 15, environ 25 % du budget. Corpus documentaire complet, revue des fournisseurs critiques et avenants contractuels, déploiement de la détection, sensibilisation généralisée avec campagnes de simulation.

Mois 16 à 24, environ 15 % du budget. Test d'intrusion de validation, exercice de crise, revue de direction, ajustements, et le cas échéant préparation d'un audit de certification.

Cette séquence a un avantage politique souvent décisif : elle produit des résultats démontrables dès le neuvième mois, ce qui facilite l'obtention des budgets suivants auprès d'une direction financière naturellement méfiante à l'égard des dépenses de conformité.

Ce que coûte l'absence de conformité

Le calcul budgétaire n'a de sens qu'en regard du coût de l'inaction, qui se décompose en quatre volets. Le risque de sanction administrative d'abord, avec les plafonds européens rappelés plus haut, sachant que dans la pratique les autorités de contrôle privilégient d'abord la mise en demeure et l'injonction de mise en conformité, dont l'exécution sous contrainte de délai coûte mécaniquement plus cher qu'un programme planifié.

Le risque commercial ensuite, et c'est aujourd'hui le plus tangible pour les PME. Les grands donneurs d'ordre répercutent leurs obligations sur leurs fournisseurs. Perdre un référencement pour absence de preuves de sécurité coûte immédiatement plus cher que le programme complet.

Le coût d'un incident non maîtrisé enfin. Pour une PME française, le coût complet d'une attaque par rançongiciel avec interruption d'activité se situe couramment entre 150 000 et 800 000 € en incluant l'arrêt de production, la remédiation, les pertes de données et l'impact commercial. Une majorité des mesures exigées par NIS 2 sont précisément celles qui réduisent ce scénario, ce qui explique que les assureurs cyber ajustent désormais leurs primes en fonction du niveau de maturité démontré.

Le quatrième volet, la responsabilité personnelle des dirigeants, est le plus souvent ignoré dans les tableaux budgétaires. Le texte européen prévoit que les organes de direction peuvent être tenus responsables du manquement aux obligations de gestion du risque. Ce point à lui seul justifie que le sujet soit traité en comité de direction et non délégué au service informatique.

Questions fréquentes

Quel est le budget minimum crédible pour une PME de 50 salariés ?

Environ 30 000 à 40 000 € en dépense externe la première année, plus l'équivalent de 25 à 35 jours de temps interne. En dessous de 25 000 €, il est possible de traiter les fondamentaux techniques mais pas de produire un dispositif documenté et opposable. Les offres à 8 000 € tout compris couvrent en général une analyse d'écart légère et un jeu de modèles documentaires, ce qui constitue un point de départ, pas une mise en conformité.

Existe-t-il des aides publiques pour financer la mise en conformité ?

Plusieurs dispositifs existent selon les régions et les filières : diagnostics cyber subventionnés, parcours d'accompagnement régionaux, aides sectorielles pour l'industrie. Les montants couvrent le plus souvent une partie du diagnostic initial, rarement les outils ou l'accompagnement de mise en œuvre. Il faut consulter votre agence régionale de développement économique et votre fédération professionnelle, et vérifier les dispositifs relayés par l'ANSSI, car les conditions évoluent chaque année.

Combien coûte le maintien de la conformité une fois le projet terminé ?

Entre 10 000 et 22 000 € par an pour une entreprise de 10 à 50 salariés, entre 28 000 et 65 000 € pour 50 à 250 salariés, entre 95 000 et 175 000 € au-delà. Ce récurrent couvre les licences, la sensibilisation annuelle, la révision de l'analyse de risque, le test de continuité, la revue des fournisseurs et un audit périodique. C'est le poste que les entreprises oublient le plus systématiquement de provisionner.

Faut-il viser une certification ISO 27001 en même temps ?

Si votre marché est international, si vous répondez à des appels d'offres où la certification est demandée, ou si vous êtes déjà certifié sur un autre référentiel, la réponse est oui : le surcoût marginal est de l'ordre de 25 à 35 %, alors que deux programmes séparés coûtent presque le double. Si votre seul objectif est la conformité réglementaire et que vous n'avez aucune pression client, la certification n'est pas nécessaire et peut être différée.

Peut-on négocier le prix d'un accompagnement NIS 2 ?

Le tarif journalier se négocie peu, mais le périmètre se négocie beaucoup. Les leviers efficaces sont l'engagement sur une durée de douze à vingt-quatre mois, la prise en charge interne de la collecte documentaire et des entretiens de préparation, le regroupement de l'audit et de l'accompagnement chez un même prestataire, et l'exclusion des prestations que vous savez faire vous-même. Un périmètre bien découpé fait baisser la facture de 20 à 30 % sans dégrader le résultat.

Quel est le délai réaliste entre le lancement et un dispositif défendable ?

De neuf à quinze mois avec un accompagnement et un pilotage effectif, de dix-huit à trente mois en autonomie complète. Les organisations qui annoncent trois mois traitent en réalité la couche technique visible sans la gouvernance, la documentation et la chaîne d'approvisionnement, qui sont précisément les volets examinés en cas de contrôle ou d'incident.

Que se passe-t-il si mon budget ne permet pas de tout financer cette année ?

Documentez votre plan d'action pluriannuel, faites-le approuver formellement par la direction, et exécutez-le. Une entreprise qui dispose d'une analyse de risque à jour, d'un plan daté, chiffré et validé, et qui démontre une progression mesurable se trouve dans une position bien plus solide qu'une entreprise sans démarche du tout. L'absence totale de dispositif est le seul cas véritablement indéfendable.

Comment justifier ce budget auprès d'une direction financière ?

Trois arguments fonctionnent, dans cet ordre. Le maintien du chiffre d'affaires exposé aux exigences des donneurs d'ordre, qui se chiffre en pourcentage du carnet de commandes. La réduction du coût attendu d'un incident, en confrontant le budget annuel au coût moyen d'une interruption d'activité de deux semaines. La réduction de la prime d'assurance cyber, généralement de 10 à 25 % contre preuves de maturité. Présenter NIS 2 comme une dépense réglementaire pure est le meilleur moyen de ne pas obtenir l'arbitrage.

Pour aller plus loin

• Directive NIS 2 : obligations et périmètre complet
• Phase opérationnelle NIS 2 : les étapes de mise en œuvre
• Budget cybersécurité PME : ROI et arbitrages
• Sanctions NIS 2 : montants et procédures ANSSI
• NIS 2 en pratique : guide ANSSI ReCyF 2026