MC2I

Deux options. Soit vous contactez le prestataire directement via son site officiel listé en haut de la fiche — la voie la plus rapide si vous savez déjà que c'est lui que vous voulez. Soit vous passez par le formulaire nis2-pro : votre demande est transmise à ce prestataire plus 2 cabinets qualifiés ANSSI au profil similaire (mêmes qualifications, secteur d'intervention, région), pour vous permettre de comparer 3 angles commerciaux avant de décider. La sélection des alternatives est faite par nis2-pro selon votre profil — pas par le prestataire de la fiche.

Les qualifications ANSSI sont attribuées pour une durée limitée (généralement 3 ans pour PASSI, PRIS, PDIS) avec audit de surveillance tous les 18 mois. Le catalogue officiel sur cyber.gouv.fr/produits-services-qualifies liste en temps réel les prestataires dont la qualification est active, le périmètre exact (auditeur, code, architecture, configuration, intrusion pour PASSI), et la date d'expiration. nis2-pro synchronise ce catalogue mensuellement. Toute qualification retirée entre deux syncs apparaît sur le site officiel ANSSI en premier.

Compter typiquement 2 à 6 semaines entre premier contact et démarrage opérationnel : 1 semaine de qualification du besoin, 1 à 2 semaines de proposition commerciale et négociation, 1 à 2 semaines de contractualisation et mobilisation des auditeurs qualifiés. Pour une réponse à incident PRIS, les délais sont contractuels et courts (24-72h selon l'engagement signé). Pour les missions PASSI lourdes (audit d'architecture, tests d'intrusion sur SI critique), prévoir 4 à 8 semaines avant kickoff selon la disponibilité des auditeurs qualifiés.

Les TJM varient typiquement de 1 200 € HT (consultant junior) à 2 500 € HT (auditeur senior PASSI ou expert PRIS). Un audit PASSI complet (architecture + configuration + intrusion) sur un périmètre moyen coûte entre 30 et 80 k€ HT. Un audit de gap NIS2 ciblé sur les 10 mesures de l'article 21 : 15 à 40 k€ HT selon la taille. Une mission de RSSI externalisé : 4 à 8 k€ HT par mois. Les prestataires ne publient pas leurs grilles publiquement — demander un devis cadré sur votre périmètre exact.

Non, la directive NIS2 ne rend pas obligatoire le recours à un prestataire qualifié pour la mise en conformité elle-même. En revanche, pour certains audits réglementaires (OIV au titre de la LPM, opérateurs de services essentiels sur certains référentiels sectoriels), seuls les prestataires PASSI peuvent émettre des rapports opposables à l'ANSSI. Pour la conformité NIS2 standard (article 21, gouvernance, gestion des risques), un prestataire non qualifié peut intervenir — mais la qualification ANSSI reste un gage de compétence et un facilitateur en cas de contrôle ANSSI.