Quel cabinet de conseil NIS2 choisir pour votre entreprise?

Mis à jour le 14 octobre 2026. Base juridique : la directive (UE) 2022/2555 (NIS2). Au 14 octobre 2026, la France ne l'a pas encore transposée.

L'essentiel en bref

Le bon conseil NIS2 dépend de ce qui manque à votre entreprise : un projet ponctuel, comme l'analyse des écarts et la mise en place du SMSI, ou un rôle permanent, comme le RSSI. Dans les PME et ETI, il manque souvent les deux.
Le conseil NIS2 relève de quatre modèles : les cabinets spécialisés en sécurité de l'information, les activités de conseil des organismes de contrôle, les grands cabinets de conseil et les plateformes dotées de leurs propres experts avec un mandat de RSSI externalisé.
Dans l'étude NIS2 Readiness Study 2026 de Kertos, 84 % des entreprises interrogées en Allemagne, de 50 à 1 000 personnes, n'ont ni RSSI interne ni RSSI externe.
La France n'a pas encore transposé NIS2. L'ANSSI propose déjà un pré-enregistrement volontaire et le référentiel ReCyF en version document de travail.
Il n'existe pas de « certificat NIS2 ». Selon l'article 20 de la directive, les organes de direction approuvent les mesures et supervisent leur mise en œuvre, quel que soit le prestataire.

Le bon conseil NIS2 dépend de deux questions : votre entreprise a-t-elle besoin d'un projet ou d'un rôle permanent, et ses installations de production entrent-elles dans le périmètre ? Un projet délimité, avec analyse d'applicabilité, analyse des écarts et mise en place du SMSI, relève des cabinets spécialisés en sécurité de l'information, des activités de conseil des organismes de contrôle et des grands cabinets de conseil. Si personne dans l'entreprise ne fera vivre le SMSI ensuite, il faut en plus un mandat de RSSI externalisé, proposé par des cabinets spécialisés comme par des plateformes dotées de leurs propres experts. La sécurité technique des réseaux de production relève, dans tous les modèles, de spécialistes OT.

Le seuil de NIS2 se situe au niveau des PME et ETI : une entreprise d'un secteur des annexes I ou II est visée dès 50 personnes d'effectif. Pour elles, la question du rôle permanent est souvent décisive ; elle suit donc directement les modèles sur cette page.

Quels types de conseil NIS2 existe-t-il ?

Les quatre modèles se distinguent par ce qu'ils livrent et par la personne qui porte le travail après le projet.

Modèle	Ce qu'il livre	Adapté en général lorsque
Cabinet spécialisé en sécurité de l'information	Analyse d'applicabilité, analyse des écarts, mise en place du SMSI, processus de notification, formation de la direction ; souvent un mandat de RSSI externalisé	vous avez besoin d'un projet au périmètre défini et de consultants expérimentés pour le SMSI et la documentation
Activité de conseil d'un organisme de contrôle	Autoévaluation, analyse des écarts, accompagnement à la mise en œuvre, préparation aux audits	vous souhaitez un acteur reconnu du contrôle et planifiez séparément le conseil et une éventuelle certification
Grand cabinet de conseil	Analyse d'applicabilité par entité, analyse des écarts, gouvernance, programmes de mise en œuvre, souvent avec des évaluations OT	un groupe présent dans plusieurs entités ou pays veut mobiliser une grande équipe projet
Plateforme dotée de ses propres experts	Logiciel pour les mesures, les risques et les preuves, avec des experts pour la mise en œuvre et les audits, parfois avec un mandat de RSSI externalisé	aucun rôle de sécurité n'est pourvu en interne et les preuves doivent rester à jour après le projet

Une règle compte si vous travaillez avec un organisme de contrôle. Selon la norme ISO/CEI 17021-1, section 5.2, un organisme de certification ne peut pas proposer lui-même de conseil en système de management. Lorsqu'un organisme qui lui est lié a conseillé votre système de management, la norme cite comme mesure reconnue que l'organisme de certification ne certifie ce système qu'au moins deux ans après la fin du conseil. Si vous visez une certification ISO 27001 après votre projet NIS2, clarifiez avant de signer qui conseille et qui certifie.

Les modèles se combinent. Si votre équipe veut mener le travail elle-même avec un logiciel, le comparatif des logiciels NIS2 présente les éditeurs.

Quel conseil NIS2 choisir pour une PME ou une ETI ?

Dans les PME et ETI, il manque souvent le rôle permanent en plus du savoir-faire projet. Pour la NIS2 Readiness Study 2026, Kertos a interrogé 51 entreprises établies en Allemagne, de 50 à 1 000 personnes, actives dans les secteurs de l'annexe I de la directive NIS2 (du 3 août au 4 septembre 2026). 84 % d'entre elles n'ont ni RSSI interne ni RSSI externe. Dans 63 %, la direction informatique est responsable de NIS2, et dans 41 % c'est le seul rôle cité.

D'où une question à poser à chaque offre : qui fera vivre le SMSI après la remise des livrables ? Un projet qui se termine par une remise à un RSSI que l'entreprise n'a pas laisse des politiques sans responsable.

Exemple : un fabricant de machines de 150 personnes relève de l'annexe II, « Autres secteurs critiques », secteur « Fabrication », fabrication de machines et équipements (NACE C28). À partir de 50 personnes d'effectif, c'est une moyenne entreprise et donc une entité importante, une fois la directive transposée. Supposons que la DSI porte NIS2 en plus de l'exploitation, qu'aucun RSSI ne soit désigné et que les machines de l'atelier soient reliées au réseau de l'entreprise. L'entreprise a alors besoin d'un projet pour l'analyse des écarts et le SMSI, d'une personne ou d'un mandat pour l'exploitation ensuite et d'un spécialiste OT pour les réseaux de production.

Situation de départ	Modèle le plus indiqué
RSSI en interne, écarts dans l'analyse et la documentation	Projet avec un cabinet spécialisé ou l'activité de conseil d'un organisme de contrôle
Pas de RSSI, NIS2 repose sur la DSI	Mandat de RSSI externalisé, auprès d'un cabinet spécialisé ou d'une plateforme dotée de ses propres experts
Réseaux de production et automates dans le périmètre	En plus, un partenaire pour la sécurité technique OT
Plusieurs entités ou pays	Grand cabinet de conseil ou combinaison de modèles

Quel logiciel convient à quelle situation : voir la page logiciel NIS2 pour les PME et ETI.

Où en est NIS2 en France aujourd'hui ?

Au 14 octobre 2026, la France n'a pas transposé NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Son examen en séance publique, prévu à partir du 7 octobre 2026, a été retiré de l'ordre du jour le 6 octobre 2026, sans nouvelle date à ce stade. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition.

D'ici la transposition, le dispositif NIS1 continue de s'appliquer aux opérateurs de services essentiels (OSE) et aux fournisseurs de service numérique (FSN). L'ANSSI propose un pré-enregistrement volontaire sur MesServicesCyber et a publié le référentiel ReCyF en version document de travail, qui met en regard ses mesures recommandées et ISO/CEI 27001. Un accompagnement engagé aujourd'hui peut s'appuyer sur ce référentiel et sur les dix mesures de l'article 21 de la directive.

Que doit couvrir un accompagnement NIS2 ?

Un accompagnement NIS2 complet couvre six phases. Pour chacune, attendez ceci :

Analyse d'applicabilité : classification selon le secteur, la taille et la structure du groupe, au titre de l'article 3 et des annexes I et II.
Analyse des écarts : comparaison avec les dix mesures de l'article 21, paragraphe 2, avec un partage clair entre ce que le prestataire prend en charge et ce qui reste chez votre DSI.
Mise en place du SMSI : politiques, analyse des risques et preuves dans un système que votre entreprise peut faire vivre sans le prestataire.
Notification des incidents au titre de l'article 23 : responsabilités, disponibilité et un processus testé pour l'alerte précoce sous 24 heures.
Obligations de la direction au titre de l'article 20 : formation des membres des organes de direction et un processus de supervision de la mise en œuvre.
Exploitation et RSSI externalisé : une personne désignée qui tient à jour les preuves, les risques et les fournisseurs. Les modèles et les coûts mensuels sont comparés sur la page RSSI externalisé.

Cinq critères départagent les offres dès le premier échange :

Que reste-t-il dans l'entreprise après le projet ? Des documents sur un serveur partagé, ou un système tenu à jour avec des responsables.
Quelle compétence OT ? Demandez des références en environnement de production si des automates entrent dans le périmètre.
Forfait ou tarif journalier ? Demandez le nombre de jours par phase.
Le prestataire connaît-il les entreprises de votre taille ? Demandez des références de PME et ETI et de votre secteur.
Le logiciel et la gestion des preuves sont-ils inclus ? Ou s'ajoutent-ils comme un projet à part ?

Combien coûte un conseil NIS2 ?

En Allemagne, selon l'étude « Honorare im Consulting 2025 » de la fédération des consultants BDU (décembre 2025), le tarif journalier moyen facturé en 2025 était de 1 300 €, et de 1 600 € au niveau des associés et des dirigeants. L'étude distingue le conseil informatique, mais pas la sécurité de l'information. Le nombre de jours dépend de la classification, de la maturité, de l'environnement OT et de la chaîne d'approvisionnement. Pour une PME ou ETI sans RSSI, le coût récurrent du rôle s'ajoute aux jours de projet. Le détail figure sur la page Combien coûte NIS2 ?

Quand Kertos est-il le bon choix, et quand ne l'est-il pas ?

Kertos associe une plateforme de conformité, l'agent IA KAIA et des experts certifiés internes. KAIA rattache l'état réel aux dix mesures de gestion des risques de NIS2 et maintient les preuves à jour. Les experts accompagnent l'analyse d'applicabilité, l'analyse des écarts et les politiques, forment la direction et mettent en place avec vous la chaîne de notification.

Modèle : plateforme et experts certifiés internes.
RSSI externalisé et DPO : sous forme de mandat, dans le même système.
Référentiels : NIS2, ISO 27001, TISAX, RGPD, ISO 27701, ISO 42001, SOC 2, C5 et le règlement européen sur l'IA, à partir d'une base de preuves commune.
Siège et hébergement : Munich, développé et hébergé en Europe.
Résultats : taux de réussite aux audits de 100 % ; environ 80 % d'effort de conformité manuel en moins ; AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines, sans consultants externes.

Kertos n'est pas le bon choix dans ces cas :

Un groupe veut une équipe projet d'un grand cabinet d'audit et de conseil pour des structures internationales.
Il s'agit de sécurité technique OT en production. La sécurité technique OT, comme la segmentation des réseaux de production, le durcissement des automates ou les mesures selon l'IEC 62443, relève de partenaires spécialisés.
Vous cherchez une mission de conseil ponctuelle sans logiciel.
Vous avez besoin d'un déploiement sur site.

Pour voir à quoi ressemblerait la mise en œuvre sur votre périmètre, réservez une démo.

Questions fréquentes

Faut-il un cabinet de conseil pour NIS2, ou un logiciel suffit-il ?

Un logiciel suffit lorsqu'une personne expérimentée en interne fait vivre le SMSI et porte les jugements d'expert, par exemple sur le caractère proportionné d'une mesure au risque. Sans cette personne, il faut un conseil ou un mandat externe en plus du logiciel. Le comparatif des logiciels NIS2 indique quels éditeurs incluent des experts.

Un RSSI externalisé peut-il reprendre la responsabilité NIS2 ?

Un RSSI externalisé peut reprendre l'exécution des tâches : piloter les mesures, tenir les preuves à jour, accompagner la gestion des incidents et rendre compte à la direction. La responsabilité reste celle de la direction. Selon l'article 20 de la directive, les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et suivent une formation.

Un organisme de certification peut-il aussi conseiller ?

Pas sur le même système de management. Selon la norme ISO/CEI 17021-1, section 5.2, un organisme de certification ne peut pas proposer lui-même de conseil en système de management. Lorsqu'un organisme lié a conseillé, la norme cite comme mesure reconnue un délai d'au moins deux ans après la fin du conseil avant que l'organisme de certification ne certifie ce système de management.

PLUS INFORMATIONS