Une entité essentielle qui néglige sa sécurité s’expose à une amende pouvant atteindre 10 millions d’euros. La directive NIS2 a déplacé la charge de la preuve : montrer que vos défenses tiennent face à une vraie attaque n’est plus facultatif. C’est précisément le rôle du test d’intrusion imposé par NIS2. Avant d’entrer dans le détail, comprenez comment effectuer un pentest / test d’intrusion s’inscrit dans ce cadre réglementaire.
Les sanctions ne relèvent pas de la théorie, elles atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions ou 1,4 % pour les entités importantes. Les établissements de santé figurent parmi les secteurs visés. Pour eux, la vraie question n’est plus de tester ou non, mais de savoir quand le faire et comment le documenter.
Ce que la directive NIS2 attend de vos tests
On parle beaucoup du « nis2 pentest » depuis l’entrée en application du texte. Derrière l’expression, une exigence simple : ne pas se contenter d’avoir des mesures de sécurité, mais prouver qu’elles fonctionnent.
La directive NIS2 (référencée EU 2022/2555) est entrée en vigueur en janvier 2023 et couvre les entités essentielles et importantes de secteurs critiques. Son article 21 définit dix mesures minimales de gestion des risques : analyse des risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, évaluation de l’efficacité, hygiène cyber, cryptographie, contrôle d’accès et authentification multifacteur.
La phrase clé se trouve dans le point 21(2)(f) : les organisations doivent mettre en place des politiques d’évaluation de l’efficacité de leurs mesures. Un questionnaire ne suffit pas à démontrer cette efficacité. Un test d’intrusion le fait.
Le pentest est-il vraiment obligatoire sous NIS2 ?
La réponse honnête : la directive n’écrit pas noir sur blanc « réalisez un pentest ». Mais elle exige des mesures que l’on peut difficilement vérifier sans en faire un. Régulateurs et auditeurs interprètent largement l’article 21 comme imposant des tests réguliers pour démontrer la conformité.
Le calendrier compte aussi. Les États membres devaient transposer NIS2 dans leur droit national avant le 17 octobre 2024, même si les délais d’application varient d’un pays à l’autre. En France, cela concerne un nombre d’organisations bien plus large qu’avec le texte précédent, dont beaucoup n’avaient jamais été soumises à des obligations cyber.
Si vous hésitez encore sur l’intérêt de la démarche, cet article détaille pourquoi faire un pentest au-delà de la seule case à cocher réglementaire.
Les phases d’un test d’intrusion conforme
Un test aligné sur NIS2 suit une progression claire, et chaque étape produit une trace documentaire exploitable pour l’audit.
- Reconnaissance : cartographie de l’infrastructure exposée, sous-domaines, services cloud et actifs numériques.
- Analyse : identification des ports ouverts, services actifs et faiblesses potentielles.
- Exploitation : tentative concrète d’exploiter les vulnérabilités pour mesurer l’impact réel.
- Post-exploitation : évaluation de ce qu’un attaquant peut atteindre une fois entré.
- Rapport et retest : documentation des failles avec score CVSS, recommandations, puis validation des corrections.
Un point revient souvent chez les auditeurs : un rapport sans retest est une chaîne de preuves incomplète. La correction doit être vérifiée, pas seulement promise. Cette exigence commence en amont, avec un périmètre solide ; nous expliquons ici pourquoi faire une phase d’inventaire avant tout test.
Côté outillage, le pentest combine reconnaissance réseau, scanners de vulnérabilités et techniques manuelles. Pour un aperçu concret, consultez notre sélection des meilleurs outils de pentest.
À quelle fréquence faut-il tester ?
La recommandation partagée par la plupart des acteurs du secteur : au moins une fois par an, et à chaque changement significatif de votre infrastructure. Une migration, un nouveau service exposé ou une refonte applicative justifient un test complémentaire.
Pour les environnements à haut risque, un rythme semestriel se défend. Si vous venez de subir une cyberattaque, un test permet aussi de comprendre ce qui a cédé et de préparer la suite. L’idée n’est pas de multiplier les rapports, mais d’ancrer le test dans un cycle d’amélioration continue.
Sanctions, responsabilité et déclaration d’incident
NIS2 renforce la responsabilité de la direction. Un dirigeant peut être tenu pour responsable en cas de négligence dans le devoir de diligence. L’absence de validation technique périodique est vue comme une défaillance sérieuse dans la gestion des risques.
Le régime de déclaration est strict. Une entité doit notifier l’autorité compétente dans les 24 heures suivant la détection d’un incident, avec un rapport détaillé sous 72 heures et un bilan final sous un mois. Un incident qu’un pentest aurait pu identifier devient alors un événement réglementaire scruté de près. Si l’examen révèle des failles connues et non corrigées, l’organisation a documenté sa propre négligence.
Pentest et établissements de santé : HDS, RGPD, CaRE
Dans un hôpital, une faille ne se traduit pas seulement par une amende. Elle peut interrompre des soins. C’est ce qui rend le sujet particulièrement concret pour les DSI et RSSI du secteur.
Nous accompagnons les structures de santé sur ce terrain précis. Notre hébergement certifié HDS et notre conformité ISO 27001 posent le socle. Nos services managés (SOC, NOC), nos plans PSSI, PCA et PRA, ainsi que nos tests d’intrusion éthiques, viennent vérifier que ce socle résiste. Nous relions chaque constat technique aux exigences RGPD et au programme CaRE, pour transformer la contrainte réglementaire en posture de sécurité tenable.
Scan, pentest ponctuel ou accompagnement continu ?
Toutes les approches ne se valent pas face aux exigences de preuve de NIS2. Le tableau suivant clarifie les différences.
| Critère | Scan automatisé | Pentest ponctuel externe | Notre accompagnement sécurité |
|---|---|---|---|
| Méthode | Automatisée | Manuelle, pilotée par un expert | Manuelle + supervision managée |
| Failles logiques et enchaînées | Non | Oui | Oui |
| Retest et suivi de remédiation | Non | Selon prestation | Inclus |
| Hébergement HDS / ISO 27001 | Non | Non | Oui |
| Lien RGPD et programme CaRE | Non | Rarement | Oui |
Un scan montre que « la porte est verrouillée ». Un test d’intrusion vérifie si un attaquant peut quand même entrer par une API mal configurée. Seul le second répond au niveau de preuve attendu.
Retenez l’essentiel : NIS2 ne demande pas seulement d’avoir des défenses, mais de prouver qu’elles fonctionnent, sous peine d’amendes atteignant 10 millions d’euros. Le test d’intrusion, documenté et suivi d’un retest, reste le moyen le plus direct d’y parvenir. Planifiez-le au moins une fois par an, corrigez ce qu’il révèle, et gardez la trace de chaque correction. Pour les établissements de santé français, nous combinons hébergement certifié, supervision managée et tests éthiques pour maintenir la sécurité sans sacrifier la continuité des soins. Pour aller plus loin, découvrez notre approche du pentest black box et son intérêt en conditions réelles.
FAQ – NIS2
NIS2 rend-il le pentest obligatoire ?
La directive ne cite pas explicitement le test d’intrusion. Mais son article 21 impose d’évaluer l’efficacité des mesures, ce qui est difficile à prouver sans pentest régulier.
Qui peut réaliser un test d'intrusion conforme ?
De préférence une organisation indépendante de celle qui administre le système, avec des experts certifiés. Nos tests d’intrusion éthiques sont pensés pour produire une documentation exploitable en audit.
Sous quel délai déclarer un incident ?
Une notification est due dans les 24 heures suivant la détection, un rapport sous 72 heures, puis un bilan final sous un mois auprès de l’autorité compétente.
Vous pourriez également être intéressé par les articles suivants :
Dans un contexte où les cyberattaques ciblent fortement le secteur de la santé, la sécurité des systèmes informatiques est devenue un enjeu critique. Entre applications métiers, services web, infrastructures réseau et données patients, les établissements doivent aujourd’hui renforcer leur niveau de protection face à des menaces toujours plus sophistiquées.
Dans un contexte où les cyberattaques ciblent fortement le secteur de la santé, la sécurité des systèmes d’information est devenue une priorité absolue. Entre applications métiers, services web, infrastructures cloud et gestion des données patients, chaque organisation doit aujourd’hui être capable d’anticiper et de détecter les failles.
Le Plan de Reprise d’Activité (PRA) est devenu un élément central de la cybersécurité des établissements de santé. Face à la multiplication des cyberattaques, des ransomwares et des pannes majeures, disposer d’un PRA opérationnel est indispensable pour garantir la continuité des soins, la disponibilité des données patients et la conformité réglementaire.