Choisir un prestataire NIS2 : comparer méthode et qualifications

Choisir à partir de la mission attendue

La préparation NIS2 peut demander une analyse juridique, un audit de sécurité, une formation ou une remédiation. Ces besoins mobilisent des compétences différentes. Commencez par décrire le livrable et les décisions que vous voulez éclairer. Une présentation générale de cabinet ne permet pas de savoir qui interviendra et ce qui sera vérifié.

Le site propose une mise en relation avec un prestataire spécialisé sélectionné. Il ne publie pas de noms de partenaires, de volumes de réseau ou de délais garantis sans preuve. Le prestataire établit son devis et réalise la mission. L’acheteur doit examiner sa proposition et valider les conditions avant tout engagement.

Vérifier les compétences utiles au périmètre

Demandez les compétences des intervenants et leurs rôles dans la mission. Une expertise technique peut ne pas couvrir la qualification juridique d’une activité internationale. Un environnement industriel peut demander une méthode adaptée aux contraintes de production. Une formation de dirigeants demande une capacité pédagogique propre. Le devis doit montrer comment ces besoins sont couverts.

Les références et qualifications annoncées doivent être vérifiables. L’ANSSI publie des informations sur les solutions et services qualifiés. Une qualification possède un périmètre et des conditions ; elle ne constitue pas une garantie générale pour toute prestation du fournisseur. Demandez le lien officiel et l’adéquation avec la mission. Ne déduisez pas une « certification NIS2 » d’un label sans rapport explicite.

Examiner la méthode et les limites

La proposition doit préciser les entretiens, les documents et les observations. Une revue déclarative n’offre pas le même niveau d’assurance qu’une vérification technique. Demandez comment les preuves seront choisies et comment les constats seront reliés aux références. Les systèmes non examinés et les contraintes d’accès doivent être visibles.

Le choix du référentiel doit être expliqué. ReCyF est présenté par l’ANSSI comme un document de travail. Certaines activités numériques nécessitent une lecture du règlement 2024/2690. Le prestataire ne doit pas appliquer la même grille sans examiner l’activité. Les textes nationaux doivent être distingués des recommandations et des clauses contractuelles.

Point de comparaison	Question à poser
Compétences	Qui intervient sur le juridique, le technique et les métiers ?
Méthode	Quelles preuves seront observées et avec quelles limites ?
Références	Quels textes et versions soutiennent les conclusions ?
Livrables	Quels documents réutilisables sont remis ?
Confidentialité	Où vont les pièces et quand sont-elles supprimées ?
Réception	Comment les désaccords et corrections sont-ils traités ?

Exemple : deux offres portant le même titre

Dans un exemple pédagogique, deux offres annoncent un audit NIS2. La première prévoit des entretiens et une synthèse ; la seconde comprend des observations sur des systèmes définis. Le titre ne permet pas de les comparer. L’acheteur doit demander un tableau de périmètre et les critères de réception. Le besoin peut justifier l’une ou l’autre, mais les limites doivent être comprises.

Cet exemple ne décrit aucun cabinet. Il invite à comparer les prestations sur leur contenu, pas sur une promesse de conformité. Une offre moins étendue peut être utile comme premier lot si la direction conserve les zones non couvertes. Elle ne doit pas être présentée comme une couverture complète de l’entité.

Encadrer confidentialité et indépendance

Les pièces d’audit peuvent révéler des dépendances et des vulnérabilités. Le contrat doit préciser les accès, la conservation et la suppression des copies. Les sous-traitants éventuels doivent être identifiés selon les besoins contractuels. Le rapport destiné à la direction peut être expurgé sans perdre la trace des constats dans les documents techniques contrôlés.

Si le prestataire propose aussi la remédiation, demandez comment les lots et les décisions seront distingués. L’acheteur doit pouvoir comprendre les recommandations sans être contraint d’acheter une solution non prévue. Les conflits d’intérêts et les limites d’indépendance doivent être discutés selon la nature de la mission. Une qualification officielle n’efface pas ce besoin de cadrage contractuel.

Cahier de mission et critères de réception

Préparez un cahier de consultation commun aux offres : entités, services, systèmes, livrables et exclusions. Demandez un exemple de structure de rapport expurgé, sans document client non autorisé. Le prestataire doit expliquer la manière dont il traite les preuves insuffisantes et les points juridiquement incertains. Les coûts, frais et options sont rattachés au périmètre.

La réception comporte une revue factuelle et une restitution de décisions. Demandez que les constats puissent être discutés avec les propriétaires de systèmes avant finalisation. Les livrables doivent distinguer écarts confirmés, réserves et recommandations. Une phrase générale de conformité ne remplace pas cette traçabilité. Les formats de remise doivent permettre la reprise du suivi par vos équipes.

Avant signature, vérifiez les autorisations nécessaires et les contributions internes attendues. Un audit peut être retardé par des pièces ou des contacts indisponibles ; le devis doit traiter ces dépendances sans promettre un délai fictif. Les coordonnées et les informations sensibles se partagent dans les canaux convenus après cadrage. La demande initiale sur ce site peut rester limitée aux activités et au résultat recherché.

Sources et portée réglementaire

Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.

Poursuivre le cadrage

Questions sur ce dossier

Une qualification ANSSI couvre-t-elle toutes les prestations ?

Il faut vérifier son périmètre et ses conditions dans la source officielle. Elle ne doit pas être étendue à une mission différente sans justification.

Le site réalise-t-il lui-même les audits ?

Non. Il organise la mise en relation. Le prestataire sélectionné propose le devis et réalise la prestation sous sa responsabilité.

Comment comparer deux devis de taille différente ?

Utilisez un périmètre et des critères de réception communs. Séparez les lots et les options pour comprendre les différences de niveau de vérification.