Combien coûte la conformité NIS2 au Luxembourg ?

Il n'existe pas de tarif publié pour la conformité NIS2, et les devis portant sur ce qui semble être le même travail varient d'un facteur cinq. Ce n'est pas toujours de l'opportunisme. Cela traduit le plus souvent trois choses regroupées alors qu'elles devraient être chiffrées séparément.

Les trois coûts, séparés

1. Savoir où vous en êtes

Déterminer si la loi vous concerne, vous évaluer au regard des dix mesures de l'article 21, et tester ce qui est réellement exposé. C'est un travail défini, avec une fin définie. Cela doit être à prix fixe, et si un prestataire refuse de le figer, demandez-vous pourquoi.

2. Rédiger ce que vous devez détenir

Analyse de risques, politique de sécurité, plan d'action pluriannuel, procédure d'incident, clauses fournisseurs. Fini également, et donc chiffrable fermement. La variable qui fait bouger ce montant n'est pas votre taille : c'est l'existence ou non de documents antérieurs.

3. Corriger ce que l'évaluation a trouvé

Voilà ce que personne ne peut chiffrer à l'avance, car tout dépend de l'existant. Déployer l'authentification à plusieurs facteurs sur soixante utilisateurs coûte peu. Remplacer une application métier qui n'est plus maintenue, non. Tout prestataire annonçant un prix tout compris avant de vous avoir évalué gonfle largement son chiffre ou prépare des avenants.

Ce qu'une PME doit anticiper

Pour une entreprise luxembourgeoise de 20 à 250 salariés environ, avec un environnement informatique principal, une évaluation et un ensemble documentaire complet représentent des semaines plutôt que des mois, et devraient se situer autour de 6 900 € à prix fixe. En dessous, il manque quelque chose — généralement les tests techniques, ce qui vous laisse des documents que personne n'a vérifiés. Nettement au-dessus, vous payez le plus souvent une marque ou un périmètre dont vous n'avez pas besoin.

La remédiation est réellement ouverte, mais pour la plupart des PME l'évaluation met au jour une courte liste de points peu spectaculaires : authentification à plusieurs facteurs incomplètement déployée, sauvegardes jamais restaurées pour de vrai, comptes d'administration que personne n'a revus depuis trois ans, et un contrat informatique sans la moindre clause de sécurité. Rien de coûteux à corriger. Simplement, ce n'est le travail de personne tant que personne ne l'écrit.

Les 70 % que l'État peut prendre en charge

Le ministère de l'Économie gère un dispositif appelé SME Packages — Cybersécurité, qui rembourse aux PME luxembourgeoises éligibles 70 % des coûts éligibles, pour des projets compris entre 3 000 € et 25 000 € hors TVA, avec une subvention plafonnée à 17 500 €.

Comment cela se passe

1. Vous prenez rendez-vous via la House of Entrepreneurship de la Chambre de Commerce, ou via la Chambre des Métiers si vous êtes une entreprise artisanale.
2. La Luxembourg House of Cybersecurity réalise une pré-analyse de votre situation et identifie les actions prioritaires. Cette étape est obligatoire, pas facultative.
3. Vous choisissez votre prestataire et obtenez un devis au format exigé par le dossier.
4. Vous déposez la demande ; le ministère décide.
5. Les travaux sont réalisés, clôturés par une réunion d'évaluation, puis vous transmettez la facture finale pour remboursement.

Le coût de l'inaction

Les chiffres qui font les titres sont les amendes administratives : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, jusqu'à 7 millions ou 1,4 % pour les entités importantes. Pour la plupart des PME, ces montants restent théoriques, et les brandir comme argument de vente est un peu malhonnête.

Deux conséquences sont bien plus susceptibles de vous atteindre. La première est commerciale : les grands clients exigent de plus en plus des preuves de mesures de sécurité au renouvellement des contrats, et ne pas pouvoir les fournir coûte du chiffre d'affaires bien avant de coûter une amende. La seconde est personnelle : la loi rend l'organe de direction responsable de l'approbation des mesures de sécurité et de sa propre formation, une responsabilité qui ne se délègue pas entièrement au prestataire informatique.