Ce qu’un audit doit regarder au-delà de la technique — et ce que coûte le manquement en France, Belgique, Suisse et Luxembourg

Un audit technique trouve des failles. Ce qui arrête une entreprise de dix personnes, en revanche, n’est presque jamais une faille : c’est une sauvegarde que personne n’a jamais restaurée, un virement envoyé sur un IBAN modifié par e-mail, un prestataire seul détenteur des mots de passe d’administration, ou une alerte que personne ne lisait depuis dix-huit mois.

Cet article liste les dix domaines que les audits purement techniques laissent de côté, puis ce que coûte réellement le manquement dans les quatre pays où nous intervenons — France, Belgique, Suisse, Luxembourg. Les points de contrôle sont réunis dans un auto-audit de 93 questions, gratuit, sans inscription et sans collecte : les réponses restent dans votre navigateur.

Les dix domaines qu’un audit technique laisse de côté

1. Sécurité des e-mails et fraude au paiement

Risque : détournement de paiements, usurpation d’identité, compromission de comptes. Les contrôles qui comptent : SPF, DKIM et DMARC publiés sur le domaine ; filtrage des pièces jointes et des liens ; surveillance des connexions inhabituelles et des règles de transfert automatique vers l’extérieur ; protection des moyens de récupération des comptes d’administration ; et une procédure de vérification indépendante avant tout virement ou changement de coordonnées bancaires.

Indicateur d’alerte : un changement d’IBAN peut être validé sur la seule base d’un e-mail, sans rappel sur un numéro connu d’avance. C’est le scénario de la fraude au président et de la fraude au fournisseur, et il ne demande aucune compétence technique à l’attaquant — seulement une adresse crédible, ce que l’IA générative rend trivial.

2. Réseau et accès distants

Risque : intrusion, puis propagation sans obstacle. Il faut savoir quels services sont joignables depuis Internet, fermer les interfaces d’administration et les bureaux distants exposés, séparer le Wi-Fi invité du réseau interne, et donner aux prestataires des accès individuels, limités dans le temps et révocables.

Indicateur d’alerte : un prestataire dispose d’un accès permanent à l’ensemble du réseau, sans contrôle ni traçabilité.

3. Privilèges et comptes d’administration

Risque : prise de contrôle complète du système d’information. Un administrateur travaille avec un compte standard et bascule sur un compte dédié pour les opérations sensibles ; chaque salarié ne dispose que des droits nécessaires à ses missions ; les comptes techniques des applications et des automatisations ont des droits limités ; les mots de passe techniques, clés SSH et jetons d’API sont dans un coffre, pas dans un fichier partagé ni dans un dépôt de code.

Indicateur d’alerte : tous les salariés possèdent les droits d’administration sur leur poste, sans justification.

4. Continuité d’activité et reprise

Ce contrôle complète celui des sauvegardes, il ne le répète pas : disposer de copies ne suffit pas si l’entreprise ne sait pas redémarrer. Les applications critiques sont-elles identifiées ? Que se passe-t-il si Internet, la téléphonie, le serveur principal ou le logiciel de gestion tombe ? Combien de temps l’activité peut-elle tenir sans ce service, et quelle quantité de données peut-elle perdre ? Ces deux nombres — durée d’indisponibilité acceptable et perte acceptable — commandent tout le reste du plan, y compris le budget.

Cas concret : une entreprise de dix salariés perd son serveur de fichiers. Reprend-elle ses opérations essentielles dans la journée, ou attend-elle plusieurs jours ? Dans la plupart des audits que nous menons, la réponse n’existe pas — elle se découvre le jour de la panne. La règle 3-2-1 règle la première moitié du problème, pas la seconde.

5. Supervision, détection et journalisation

Risque : une intrusion reste invisible jusqu’à ce que les dégâts deviennent visibles. Être alerté quand un service tombe, détecter les connexions inhabituelles et les tentatives répétées d’authentification, centraliser les journaux, les conserver assez longtemps pour reconstituer un incident, et désigner la personne qui traite les alertes.

Indicateur d’alerte : l’entreprise possède des outils de sécurité, mais personne ne lit les alertes qu’ils produisent. Une alerte sans destinataire n’existe pas — c’est la raison d’être d’une supervision SOC hybride plutôt que d’un outil de plus.

6. Maîtrise des prestataires et des dépendances

Risque : dépendance à un prestataire unique, perte d’accès, impossibilité de récupérer ses données. Les comptes d’administration du nom de domaine, de l’hébergement et de la messagerie appartiennent-ils à l’entreprise ? Pouvez-vous révoquer un accès sans dépendre de celui à qui vous le retirez ? Les configurations essentielles sont-elles documentées en interne ? Pourriez-vous migrer ailleurs, et récupérer les accès si votre prestataire disparaissait ?

Indicateur d’alerte : le prestataire informatique est le seul à connaître les mots de passe d’administration, et le nom de domaine est enregistré à son nom. La question n’est pas sa compétence, c’est votre réversibilité — et, pour le domaine, la propriété elle-même.

7. Coûts et patrimoine informatique

Risque : dépenses inutiles, renouvellements subis, investissements mal orientés. L’inventaire des logiciels et abonnements, les licences encore facturées pour des personnes parties, les coûts d’hébergement suivis, les renouvellements automatiques recensés, les doublons fonctionnels, le plan de renouvellement du matériel.

Indicateur d’alerte : le dirigeant ne connaît ni le montant total de ses dépenses informatiques, ni la liste des outils auxquels elles correspondent. Ce domaine n’est pas de la sécurité : il finance la sécurité. L’argent récupéré sur les doublons paie en général la mise à niveau des cinq points les plus urgents.

8. Protection des données et maîtrise du cloud

Risque : fuite, perte de contrôle, exposition involontaire. Savoir où sont les fichiers clients, les documents RH, les contrats et les données financières ; limiter les liens de partage externes dans le temps et aux personnes concernées ; rattacher les espaces de stockage à des comptes professionnels ; séparer les dossiers sensibles des espaces ouverts à tous ; chiffrer en transit et au repos ; et garder les documents indispensables accessibles même si un fournisseur devient indisponible.

9. Gouvernance et sécurité de l’intelligence artificielle

Risque : divulgation d’informations confidentielles, décisions erronées, automatisations incontrôlées. Les usages réels sont-ils inventoriés ? Une règle écrite dit-elle ce qu’on ne confie jamais à un assistant ? Les agents ont-ils des droits limités ? Les actions sensibles — paiement, suppression, envoi externe — passent-elles par une validation humaine ? Les décisions importantes sont-elles journalisées, et existe-t-il un moyen d’arrêter une automatisation qui dérape ?

Indicateur d’alerte : un agent IA peut modifier des données métier ou écrire à des clients sans limite de droits ni contrôle adapté. Pour une PME, le but n’est pas d’interdire l’IA mais de l’utiliser avec des règles simples et des responsabilités claires — c’est le sujet de l’encadrement du shadow AI et de la supervision des agents en production.

10. Gestion des incidents et capacité de réaction

Risque : une attaque devient une crise faute de savoir quoi faire. Qui contacter, qui décide des mesures d’urgence y compris la nuit, comment isoler un poste sans aggraver la situation, comment préserver les preuves, où sont les coordonnées des prestataires et de l’assureur — hors du système informatique, puisqu’il sera peut-être inaccessible — et quelles obligations de notification s’appliquent à votre pays et à votre activité.

Indicateur d’alerte : en cas de rançongiciel, personne ne sait s’il faut couper le réseau, appeler le prestataire ou prévenir l’assureur.

Ce que coûte le manquement : France, Belgique, Luxembourg, Suisse

Les quatre pays ne sont pas au même point, et l’écart ne vient pas des obligations — elles se ressemblent — mais de leur entrée en vigueur. La Belgique applique NIS2 depuis octobre 2024, le Luxembourg depuis mai 2026, la France ne l’a pas encore transposée, et la Suisse suit une logique entièrement différente. Montants et dates relevés le 30 octobre 2026.

France

Le RGPD s’applique et se sanctionne déjà ; NIS2 n’est pas encore transposée, mais ses exigences arrivent par les clients.

Au 30 octobre 2026, le projet de loi « résilience » n’a pas été voté : il a été retiré de l’ordre du jour de l’Assemblée le 6 octobre 2026, et la Commission européenne a engagé un contentieux contre la France pour ce retard. Aucune sanction NIS2 ne peut donc frapper une entité française aujourd’hui — ce qui ne vaut que pour la loi, pas pour les clauses de sécurité que les grands comptes imposent déjà à leurs fournisseurs.

Sources : ANSSI — La directive NIS 2 · CNIL — Les sanctions prononcées

Belgique

NIS2 est en vigueur depuis le 18 octobre 2024 : les obligations et les amendes sont déjà applicables.

Le CCB indique publiquement que son objectif n’est pas de sanctionner toute entité non conforme : il notifie son intention, la motive, et tient compte de la gravité et de l’ancienneté du manquement. Le référentiel CyberFundamentals (CyFun) sert de base de preuve, et toute mesure peut être contestée devant le Conseil d’État.

Sources : CCB — Mesures administratives et amendes sous NIS2 · CCB — NIS2 : ce que cela signifie pour mon organisation

Luxembourg

La loi NIS 2 du 5 mai 2026 est en vigueur, avec l’ILR comme autorité et un enregistrement déjà échu.

Les seuils annoncés par l’ILR : entité essentielle à partir de 250 personnes, ou 50 M€ de chiffre d’affaires, ou 43 M€ de bilan dans les secteurs de l’annexe I ; entité importante à partir de 50 personnes, ou 10 M€ de chiffre d’affaires ou de bilan. Le secteur financier relève en outre de la CSSF et de DORA.

Sources : Gouvernement luxembourgeois — l’ILR présente la loi NIS 2 · ILR — simulateur d’applicabilité NIS 2

Suisse

Pas de NIS2, mais une obligation d’annonce sous 24 heures pour les infrastructures critiques, et des sanctions pénales qui visent les personnes, non l’entreprise.

La différence de nature compte : le RGPD frappe l’entreprise au porte-monnaie, la LPD suisse ouvre une procédure pénale contre une personne — le dirigeant ou le responsable désigné. Le plafond paraît plus bas ; la conséquence personnelle est plus lourde.

Sources : OFCS — Obligation de signaler les cyberattaques · PFPDT — Annonce des violations de la sécurité des données

Ce que ces montants ne disent pas

Les plafonds impressionnent et trompent. Pour une PME, trois lignes pèsent plus lourd que l’amende :

• Les jours d’arrêt. Une entreprise qui ne peut plus facturer, livrer ni payer pendant cinq jours a déjà perdu davantage que le montant d’une sanction simplifiée. Ce coût ne dépend pas du régulateur : il dépend de la qualité de vos sauvegardes et de votre plan de reprise.
• Les clauses de vos clients. C’est le canal par lequel la réglementation atteint réellement les petites structures : une entité assujettie à NIS2 doit maîtriser le risque de ses fournisseurs, et le répercute en questionnaires et en clauses contractuelles. C’est l’effet de cascade, et il ne dépend d’aucun vote au Parlement.
• Ce que vous ne pouvez pas prouver. Après un incident, la question n’est pas « étiez-vous sécurisé ? » mais « pouvez-vous le montrer ? ». Sans journaux conservés, sans test de restauration daté, sans contrat précisant les obligations du prestataire, la bonne foi ne se démontre pas — ni devant une autorité, ni devant un assureur.

Un dernier point, souvent ignoré : en Suisse, la sanction visent la personne. Un plafond de 250 000 CHF prononcé contre un dirigeant n’est pas comparable à une amende administrative absorbée par une société.

Par où commencer, dans l’ordre

1. Une restauration réelle, chronométrée. Pas une vérification de l’interface de sauvegarde : un fichier remonté, et le temps noté.
2. L’authentification multifacteur sur la messagerie et les accès distants. Une journée de travail, et la quasi-totalité des attaques par mot de passe volé devient inopérante.
3. La règle du double canal sur tout changement de coordonnées bancaires. Écrite, connue, appliquée sans exception — y compris quand la demande semble venir du dirigeant.
4. La reprise en main des comptes de domaine, d’hébergement et de messagerie, au nom de l’entreprise.
5. Une fiche d’incident d’une page, imprimée : qui on appelle, qui décide, ce qu’on ne fait surtout pas.

Ces cinq actions ne demandent ni budget d’investissement, ni projet : elles demandent une décision. Le reste — segmentation, journalisation centralisée, gouvernance de l’IA — se planifie ensuite, et c’est à ce moment-là qu’une infrastructure maîtrisée coûte moins cher qu’une accumulation d’outils.

Faire le point en vingt minutes

Les 93 questions de cet article, et celles des cinq domaines techniques qui précèdent, sont réunies dans notre auto-audit de sécurité et de résilience. Il rend un score par domaine, vos cinq priorités classées par poids, le décompte de vos « angles morts » — les points de contrôle dont l’état est inconnu, qui sont le premier vrai constat d’un audit — et le régime applicable à votre pays. Gratuit, sans inscription, sans backend : vos réponses ne quittent pas votre navigateur, et rien ne nous parvient sauf si vous nous envoyez vous-même votre rapport.

Un auto-audit déclaratif ne prouve rien et ne remplace ni un audit, ni un avis juridique. Il sert à savoir où regarder — ce qui est déjà la moitié du travail.

Sources

• ANSSI — La directive NIS 2
• Centre pour la Cybersécurité Belgique — Mesures administratives et amendes sous NIS2
• Gouvernement luxembourgeois — L’ILR présente la nouvelle loi NIS 2
• OFCS / NCSC — Obligation de signaler les cyberattaques depuis le 1er avril 2025
• CNIL — Les sanctions prononcées