Base de connaissances · NIS2 et CyFun
Combien coûte un parcours NIS2 ou CyFun pour une PME ?
Une réponse honnête commence ainsi : cela dépend de votre point de départ. Donner un prix ici relèverait de la devinette. Ce que nous pouvons faire, c'est décomposer la facture en cinq blocs de coûts, montrer ce qui la fait monter ou baisser et indiquer où les entreprises se trompent dans leurs calculs. Vous pourrez ainsi évaluer vous-même chaque offre.
L'idée
Cinq blocs, dont deux ne figurent dans aucune offreL'offre du consultant ne représente qu'une partie de la facture
Quiconque lance un parcours NIS2 ou CyFun demande généralement des offres à un consultant et éventuellement à un partenaire IT. Ce sont les montants visibles. Les heures de vos propres collaborateurs et la maintenance par la suite ne figurent nulle part sur papier, alors qu'elles pèsent lourd sur plusieurs années. Celui qui se contente de comparer des offres compare donc la plus petite part. L'évaluation elle-même présente une particularité : à notre connaissance, il n'existe pas de tarifs officiels pour une évaluation CyFun. Chaque organisme d'évaluation fixe son propre prix, demandez donc plus d'une offre.
Les blocs
Où va l'argent
Accompagnement et gestion de projet
Définir le périmètre, choisir le niveau, analyse des écarts, plan d'action et suivi de la mise en œuvre. C'est le bloc dans lequel intervient un consultant comme RGI.
Mesures techniques chez le partenaire IT
Sauvegardes, gestion des accès, journalisation, gestion des correctifs, segmentation. Ce travail revient à votre partenaire IT ou à des spécialistes, et il est facturé séparément.
Heures internes
Faire approuver les politiques, adapter les processus, rassembler les preuves, former le personnel, répondre aux questions de l'évaluateur. Généralement le bloc le plus important et presque jamais budgété.
Vérification ou certification
Un organisme d'évaluation accrédité contrôle votre auto-évaluation et vos preuves. C'est un poste de coût à part entière, distinct de l'accompagnement, et il doit le rester.
Maintenance par la suite
Les mesures continuent de fonctionner, les preuves continuent d'être complétées, les incidents font l'objet d'exercices et l'évaluation doit être renouvelée à terme. Ce bloc ne disparaît jamais.
Facteurs de prix
Deux entreprises de même taille peuvent être très éloignées l'une de l'autre
Voici les facteurs qui font la différence.
Le point de départ
Une entreprise disposant de sauvegardes fonctionnelles, d'une gestion des accès et d'une direction qui s'implique a un écart plus réduit à combler qu'une entreprise qui doit encore tout construire.
Le niveau choisi
Basic, Important et Essential exigent un nombre croissant de mesures. Le niveau découle de votre analyse de risques et de votre catégorie, pas de votre budget.
Nombre de sites et de systèmes
Tous les réseaux et systèmes d'information pertinents doivent entrer dans le périmètre. Chaque site, environnement cloud ou application supplémentaire accroît le travail.
ISO 9001 ou ISO 27001 existante
Un système de management opérationnel porte une partie de la politique, de la documentation et de l'audit interne. Un certificat ISO 27001 d'un périmètre adéquat est en outre lui-même une voie reconnue. Ce que l'ISO 9001 permet exactement de réutiliser, vous le vérifiez exigence par exigence.
Un environnement OT
Les machines de production et les automatismes ne se laissent pas simplement corriger ou segmenter. Cela demande un travail de spécialiste et une concertation avec le fournisseur.
Disponibilité de vos propres collaborateurs
Un parcours sans personne en interne à qui l'on accorde du temps s'enlise ou bascule vers des heures externes, plus coûteuses.
Erreurs de calcul
Où la comparaison dérape
Ne compter que la somme unique
Mettez les coûts côte à côte sur trois à cinq ans, maintenance et réévaluation comprises. Le classement des offres change alors souvent.
Oublier le partenaire IT
Un consultant rédige le plan, mais les mesures doivent bien être mises en œuvre quelque part. Demandez à l'avance à votre partenaire IT ce que coûte sa part.
Une politique sans preuves
Une politique approuvée ne suffit pas. L'évaluateur demande la preuve qu'elle est appliquée. Celui qui doit la constituer après coup paie deux fois.
Chercher un évaluateur trop tard
Le nombre d'organismes est limité. Celui qui ne cherche un créneau que tardivement travaille sous pression et dispose de peu de choix.
Aucun budget pour la deuxième année
Un label que personne n'entretient perd sa valeur. Prévoyez la maintenance dès le premier jour.
Le coût de l'inaction
Les amendes légales ne sont pas le poste le plus lourd, mais elles fixent bien la limite supérieure
Voici les amendes prévues par la loi belge NIS2 pour les principales infractions. En outre, les administrateurs peuvent être tenus responsables si l'entité enfreint les obligations de gestion des risques, et le CCB peut imposer des instructions contraignantes ou des mesures supplémentaires.
| Situation | Amende |
|---|---|
| Entité essentielle, gestion des risques ou notification d'incidents | De 500 euros à 10.000.000 euros ou 2 % du chiffre d'affaires annuel mondial du groupe, le montant le plus élevé étant retenu |
| Entité importante, gestion des risques ou notification d'incidents | De 500 euros à 7.000.000 euros ou 1,4 % du chiffre d'affaires annuel mondial du groupe, le montant le plus élevé étant retenu |
| Infraction à l'obligation d'identification et d'enregistrement | De 500 euros à 125.000 euros |
| Entrave à la surveillance | De 500 euros à 200.000 euros |
| Récidive dans un délai de trois ans | Amende doublée |
Subventions
Il existe des aides, mais les conditions évoluent plus vite que cette page
Les pourcentages ci-dessous figurent sur les pages officielles des autorités. Vérifiez toujours les conditions actuelles, le budget disponible et votre propre éligibilité auprès des autorités elles-mêmes avant de décider ou de commander quoi que ce soit.
| Mesure | Ce que dit la source officielle | À noter |
|---|---|---|
| Parcours d'amélioration de la cybersécurité VLAIO (Flandre) | Poursuivis en 2026 via des prestataires agréés, en trois packs (START, MEDIUM, PLUS). Aide de 50 % pour les PME et les entreprises de travail adapté (maatwerkbedrijven), 35 % pour les non-PME soumises à NIS2 qui n'ont pas encore de politique ou de feuille de route solide. | La règle de minimis s'applique. Vous choisissez un prestataire agréé, pas n'importe quel consultant. |
| KMO-portefeuille, portefeuille PME flamand (Flandre) | Conseil uniquement pour la cybersécurité. 45 % pour les petites et 35 % pour les moyennes entreprises, plafond de 7.500 euros par an. | Prend fin le 1er janvier 2027. VLAIO indique que le budget est entre-temps épuisé et que de nouvelles demandes ne sont plus possibles. Vérifiez la situation actuelle. |
| Chèque cybersécurité (Wallonie) | 75 % du coût de l'expert, plafond de 50.000 euros par bénéficiaire sur trois ans, pour les PME dont le siège est en Wallonie. | Conseil et accompagnement uniquement. Vous devez vérifier si le chèque est actuellement ouvert. |
Avant de signer
Sept questions à poser à chaque prestataire
- 1Quelle phase votre offre couvre-t-elle exactement, et qu'est-ce qui en est expressément exclu ?
- 2Combien d'heures attendez-vous de mes propres collaborateurs, et quels rôles sont concernés ?
- 3Qui exécute les mesures techniques, et est-ce inclus dans ce prix ou dans celui de mon partenaire IT ?
- 4L'évaluateur est-il totalement indépendant de vous, et qui le choisit ?
- 5Qu'advient-il du prix si le périmètre change ou si l'auto-évaluation s'avère moins bonne que prévu ?
- 6Combien coûte la maintenance après l'évaluation, et que dois-je pouvoir faire moi-même ?
- 7Comment se déroule le transfert vers mon organisation une fois le projet terminé ?
Comment RGI travaille
Une offre distincte à prix fixe par phase
RGI dirige et accompagne le parcours, mais n'exécute pas elle-même de mesures techniques et ne réalise ni vérification ni certification. Le volet technique se fait avec votre partenaire IT ou avec des spécialistes de notre réseau, l'évaluation par un organisme accrédité. Nous travaillons par phases, et pour chaque phase nous établissons une offre distincte à prix fixe. Vous décidez donc à chaque fois de poursuivre ou non, et vous ne payez pas pour des phases dont vous n'avez pas besoin. Le premier entretien est gratuit. Nous examinons ensemble où vous en êtes et quels blocs pèsent le plus lourd dans votre cas.
Questions fréquentes
Réponses brèves
Pour aller plus loin
Sujets connexes
Une offre sur la table que vous ne pouvez pas évaluer ?
Transmettez-la-nous ou planifiez un entretien. Le premier entretien est gratuit. Nous passons ensemble en revue les cinq blocs de coûts et nous vous disons ce qui manque.