Quand une direction financière reçoit une proposition de mise en conformité NIS2, elle reçoit un devis. Un total annuel, des jours-homme déclinés par phase, un calendrier. Ce qu’elle ne reçoit presque jamais, c’est la décomposition de ce que ce budget achète réellement en termes de couverture du référentiel français — le ReCyF — et de ce qu’il laisse non couvert.
Cette absence de décomposition est étonnante. Quand vous achetez un véhicule, le constructeur précise la motorisation, la consommation, les options. Quand vous achetez de la conformité, vous achetez généralement du temps de consultant sans visibilité sur ce que ce temps produit comme couverture mesurable. Cette opacité bénéficie aux cabinets et nuit aux clients. Elle empêche aussi les comparaisons rigoureuses entre prestataires.
Posons l’équation
Soit une Entité Importante française d’environ 80 salariés, 15 millions d’euros de chiffre d’affaires, dans un secteur Annexe II (industrie manufacturière par exemple). Cette entité doit, à terme, atteindre les quinze objectifs ReCyF applicables aux Entités Importantes. Quel est le coût pour y parvenir ?
Une démarche cabinet classique se structure typiquement ainsi : audit initial de cadrage (3 à 5 jours), analyse de risque EBIOS Risk Manager complète (8 à 15 jours), élaboration de la PSSI et du référentiel documentaire (5 à 10 jours), accompagnement à la mise en œuvre des mesures techniques (5 à 15 jours répartis sur 12 à 18 mois), audit annuel de vérification (3 jours), revue documentaire trimestrielle (4 à 8 jours par an), réponses aux questionnaires assureurs et donneurs d’ordre (variable). Total annuel, avec un consultant senior à 1 200-1 500 euros par jour : 60 000 à 120 000 euros la première année, 30 000 à 60 000 euros par an en régime de croisière.
Cette démarche, bien conduite, peut amener l’entité à un niveau de couverture ReCyF de l’ordre de 50 % au bout de 18 mois. La progression au-delà de ce seuil dépend principalement de l’engagement de la DSI client sur les mesures techniques (contrôle d’accès, MFA, gestion des identités, segmentation, durcissement) que le cabinet ne peut pas réaliser à la place du client.
Décomposition de la valeur produite
Ce qu’apporte réellement la démarche cabinet, décomposée par bloc ReCyF :
- Bloc Gouvernance et pilotage : couverture forte par le cabinet — politique de sécurité, gouvernance, gestion des tiers, conformité documentaire.
- Bloc Protection des SI : couverture faible par le cabinet — le cabinet recommande, mais l’implémentation technique (MFA, segmentation, durcissement) reste à la DSI du client.
- Bloc Défense et résilience : couverture moyenne — le cabinet conçoit les procédures (gestion d’incidents, continuité, sensibilisation), mais l’opérationnel quotidien (supervision, détection, exercices) suppose des outils dédiés et une équipe interne ou un SOC externalisé.
En d’autres termes, sur les 80 000 euros annuels moyens d’une démarche cabinet classique, environ 60 % à 70 % vont au bloc Gouvernance, qui représente un tiers des objectifs ReCyF. Les blocs Protection et Défense, qui représentent les deux autres tiers, sont relativement peu servis par la prestation cabinet et restent largement à la charge de la DSI.
L’alternative outillée
Imaginons maintenant la même Entité Importante qui s’oriente vers un dispositif outillé. Le pilotage de la gouvernance et de la conformité passe par un produit RSSI partagé qui structure l’intake client, produit un rapport mensuel multi-référentiel, et intègre une analyse de risque industrialisée selon la méthode EBIOS. Le coût annuel d’un tel dispositif se situe entre 12 000 et 25 000 euros selon le périmètre, soit le tiers à la moitié de l’approche cabinet.
La couverture ReCyF de ce dispositif outillé n’est pas inférieure à celle de l’approche cabinet sur le bloc Gouvernance et pilotage — elle peut même être supérieure parce que la mise à jour est mensuelle et non annuelle. La couverture sur le bloc Défense et résilience est légèrement supérieure également, parce que les règles de détection sectorielles fournies par la CTI sont directement intégrables aux outils existants du client.
La couverture sur le bloc Protection des SI reste, elle, identique : l’implémentation technique relève toujours de la DSI client ou de son prestataire IT. Mais l’économie réalisée sur les blocs Gouvernance et Défense permet de redéployer un budget significatif vers ces mesures techniques, qui sont précisément celles qui produisent la couverture la plus durable.
L’équation économique sur trois ans
Sur trois ans, l’approche cabinet revient autour de 200 000 euros pour atteindre 50 % de couverture ReCyF en régime de croisière. L’approche outillée revient autour de 60 000 euros pour atteindre un niveau équivalent ou supérieur, avec en plus la possibilité de redéployer 140 000 euros vers les mesures techniques de protection.
Cette équation ne dit pas que l’approche cabinet est mauvaise. Elle dit qu’elle est calibrée pour des organisations de taille plus importante, avec des contextes complexes, des dimensions internationales, des problématiques de gouvernance groupe. Pour une Entité Importante française standard de 50 à 250 salariés, l’approche cabinet est probablement surdimensionnée par rapport au besoin réel.
Comment poser l’équation chez soi
Trois questions concrètes pour un dirigeant qui reçoit une proposition de mise en conformité NIS2.
Première question : quelle est la couverture ReCyF cible à 12 mois et à 24 mois ? Si le prestataire ne peut pas répondre en pourcentage des quinze objectifs ReCyF applicables aux Entités Importantes, il vend du temps-homme sans mesure de résultat.
Deuxième question : quelle est la décomposition de la valeur produite entre les trois blocs ReCyF (gouvernance, protection, défense) ? Cette décomposition permet de comprendre où va l’argent et où il laisse des trous.
Troisième question : quelle est l’évolution du coût annuel sur cinq ans, en intégrant les mises à jour de référentiel et les exigences croissantes ? Une démarche cabinet a tendance à voir son coût croître avec le temps. Une démarche outillée a tendance à voir son coût rester stable ou décroître à mesure que les briques sont en place.
En conclusion
La conformité NIS2 n’est pas seulement un sujet réglementaire, c’est aussi une décision d’allocation budgétaire. Une mauvaise allocation peut coûter plusieurs centaines de milliers d’euros à une ETI sur cinq ans pour un résultat médiocre. Une allocation rationnelle, fondée sur la mesure objective de la couverture et de la valeur produite, permet de divisier le coût par trois ou par quatre, tout en améliorant le résultat.
Pour les directions financières qui doivent arbitrer en 2026, l’argument à porter à leur direction générale et à leur CODIR est simple : la conformité NIS2 doit être achetée à la couverture, pas au temps-homme.
Découvrez notre formation NIS2.
Cet article propose une analyse comparative générale. Les chiffres présentés sont indicatifs et doivent être adaptés au contexte spécifique de chaque organisation.
Commentaires récents