Audit de conformité NIS2 par tests de pénétration physiques

Marc FESLER
6 nov. 2025
8 min de lecture

Pourquoi les DEUX Tests (Physique ET IT) Sont Essentiels pour Valider votre Convergence Sécurité-Sûreté-Cyber

Introduction : La fausse sécurité de la conformité cyber-seule

L'article 21 de la directive NIS2 impose la mise en place de « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » pour gérer les risques de sécurité des réseaux et systèmes d'information. Ce que la plupart des organisations ignorent : cette exigence couvre explicitement la sécurité physique des infrastructures critiques. Pourtant, la réalité terrain révèle une faille majeure : les audits de conformité NIS2 testent presque exclusivement la cybersécurité. Les menaces hybrides—qui combinent intrusion physique et cyberattaque—restent invisibles.

En 2024, 86% des décideurs informatiques français ont signalé que leur entreprise a été victime d'un ransomware, contre 53% en 2023.

Mais, aucun audit cyber seul ne révèlera si votre salle serveur était accessible en 5 minutes à un attaquant physique, ou si vos caméras de surveillance—censées vous protéger—étaient compromissables depuis Internet.

Pourquoi les DEUX tests sont indissociables

La convergence sécurité-sûreté-cyber n'est pas un concept théorique. C'est une réalité opérationnelle mesurable. Pour la valider réellement face à NIS2, vous avez besoin de

DEUX audits simultanés :

Tests de Pénétration Physiques : Simulent une intrusion réelle pour accéder aux zones critiques et aux équipements réseau
Tests de Pénétration IT (Internes + Externes) : Évaluent les vulnérabilités cyber, mais aussi comment elles peuvent être exploitées en combinaison avec une intrusion physique préalable

Pourquoi les DEUX ?

Test physique seul = Révèle les failles sécurité (Safety), mais pas si elles mènent à une compromission cyber persistante
Test IT seul = Révèle les vulnérabilités réseau, mais pas comment un attaquant pourrait y accéder physiquement en contournant les contrôles d'accès

LES DEUX TESTS combinés = Démontrent la convergence réelle et validez la conformité NIS2

C'est la différence entre une conformité « sur le papier » et une sécurité véritable.

1. Tests Physiques vs Pentests classiques : comprendre les différences

Un pentest classique teste les vulnérabilités techniques de votre périmètre réseau depuis l'extérieur. Un test de pénétration physique va plus loin : il simule une attaque réelle menée par quelqu'un qui décide physiquement de s'infiltrer dans vos locaux.

Pentests IT classiques : scope limité

Les pentests IT classiques couvrent :

Analyse de vulnérabilités externes (ports ouverts, certificats, versions logicielles)
Tests d'intrusion distants (sans accès physique aux locaux)
Évaluation du réseau et des systèmes d'information
Scope défini et calendrier limité (quelques semaines)

Tests de pénétration physiques : la réalité du terrain

Les tests physiques Red Team simulent une attaque réelle sans limites de périmètre. Ils testent :

Accès physiques aux bâtiments (portes dérobées, fenêtres, garages)
Préparation du terrain (reconnaissance OSINT, surveillance, pretext calling)
Ingénierie sociale (se faire passer pour livreur, maintenance, consultant)
Accès aux zones critiques (salles serveurs, datacenters, équipements réseau)
Installation d'implants persistants pour accès cyber à long terme
Durée prolongée (semaines à mois) pour évaluer détection et réaction réelle

2. La convergence prouvée : scénarios d'attaques hybrides réelles

Voici comment les DEUX tests révèlent des vulnérabilités que chacun seul manquerait :

Exemple 1 : Secteur santé - Intrusion HVAC → compromission persistante

Scénario d'attaque :

Un attaquant se présente à la réception comme technicien maintenance HVAC. Il accède à la chaufferie (faible contrôle d'accès physique), puis se connecte au GTB (Gestion Technique du Bâtiment) avec des mots de passe par défaut.

De là, il accède au réseau interne et installe un implant persistant permettant un accès cyber 24/7.

Résultat si test physique seul : Vous découvrez que la chaufferie est trop accessible. Vous renforcez l'accès physique. ✓

Résultat si test IT seul : Vous trouvez une segmentation réseau faible entre GTB et systèmes critiques. Vous isolez le GTB. ✓

Résultat avec LES DEUX tests :

Vous comprenez l'interaction : l'accès physique à la chaufferie exploite directement le GTB.

Vous renforcez l'accès physique ET isolez le GTB du réseau critique.

Vous avez validé la convergence. ✓✓✓

Exemple 2 : Industrie Seveso — Espion interne → SCADA Compromis

Scénario : Un concurrent embauche temporaire dans votre usine. Il photocopie des documents techniques en accès direct (sécurité physique), puis depuis un PC réseau obtient accès aux plans SCADA en exploitant des comptes sans MFA.

Les DEUX tests révèlent : Absence de cloisonnement IT/OT, documents sensibles non sécurisés, vérification antécédents prestataires insuffisante, comptes sans authentification forte.

3. Méthodologie convergente CARINEL : coordonner les DEUX audits

Nous recommandons une approche synchronisée :

Phase 1 : Reconnaissance partagée

LES DEUX équipes (physique + IT) collectent l'intelligence en parallèle :

• Analyse OSINT : horaires, emplacements, habitudes

• Cartographie des équipements réseau sensibles

• Identification des vecteurs de convergence (ex. : local climatisation → connexion GTB)

Phase 2 : Tests coordonnés

1. Équipe Physique : Infiltre locaux, accède zones sensibles

2. Équipe IT : Teste accès reseau depuis zones intrusion, tente persistence

3. Coordination temps réel : Partage d'informations pour exploiter vulnérabilités convergence

Phase 3 : Évaluation conjointe de la réaction

• Détection : Alertes levées ? Par qui ? Quand ?

• Réaction : Coordination entre sécurité physique, sûreté ET équipes IT/SOC ?

• Communication : Remontée d'alerte claire aux responsables ?

4. Checklist pratique : préparer vos DEUX audits NIS2

Avant de lancer tests physiques ET IT :

Règles d'engagement unifiées : Scope, zones interdites, contact urgence, assurance, pour les DEUX équipes
Communication inter-équipes : Équipe physique et équipe IT doivent se parler en temps réel
Blue Team partagée : Personne neutre observant les DEUX équipes (peut arrêter si risque non acceptable)
Capteurs de détection (physiques ET cyber) : Vidéosurveillance, alarmes, logs d'accès réseau, SOC monitoring
Objectifs convergence explicites : Quels vecteurs hybrides tester ? (ex : intrusion + persistence réseau)
Approbation Direction écrite : Accord signé (protection légale pour les DEUX types de tests)

💡 Pourquoi NIS2 exige les DEUX tests : L'article 21 impose des « audits et tests visant à évaluer l'efficacité des mesures de gestion des risques ». Cela signifie auditer la convergence réelle entre sécurité physique et cyber, pas juste l'un ou l'autre.

5. Interprétation des résultats convergents

Les DEUX tests révèlent trois catégories critiques :

Vulnérabilités sécurité (Safety) - Test Physique

Défauts maintenance, équipements mal sécurisés, accès zones dangereuses.

Exemple : Chaufferie sans serrure, électricité sans protection.

Vulnérabilités sûreté (Security) - Physique + IT

Contrôles d'accès faibles, procédures visiteurs insuffisantes.

Exemple : Badges actifs d'anciens employés, absence vérification prestataires.

Vulnérabilités convergence - CRITIQUE pour NIS2

Intrusion physique menant directement à compromission cyber persistante.

Exemples : Salle serveurs accessible → installation implant. GTB compromis → pivot vers SCADA. Caméras hackables → reconnaissance avant intrusion cyber.

Contexte NIS2 en France : urgence de la convergence

10 000 à 15 000 entités françaises sont concernées par NIS2. La transposition française est en cours avec application progressive jusqu'en 2027. Voici les données clés :

86% des décideurs informatiques français ont signalé que leur entreprise a subi au moins un ransomware en 2024, contre 53% en 2023 (Guardia Cybersecurity School, janvier 2025).
43% des entreprises françaises ont déjà subi au moins une cyberattaque réussie en 2024 (Jedha Bootcamp, Rapport 2025).
Seulement 41% des dirigeants français comprennent réellement les exigences NIS2, selon une étude Zscaler 2024.
Sanctions : jusqu'à 10 millions d'euros ou 2% du CA mondial pour non-conformité.

Conclusion : Les DEUX tests sont incontournables

NIS2 ne sera jamais « conforme » avec des tests parcellaires. Les menaces hybrides—qui combinent intrusion physique et cyberattaque—ne peuvent être validées que par une approche convergente. Un test physique seul ne révèlera jamais comment votre salle serveurs compromettable mène à une persistence réseau. Un test IT seul ne montrera jamais comment les contrôles d'accès faibles facilitent une intrusion initiale.

Les organisations qui réussissent la conformité NIS2 sont celles qui testent LES DEUX domaines en parallèle, avec des équipes qui communiquent, et une gouvernance unifiée sécurité-sûreté-cyber. C'est la seule approche qui démontre véritablement que votre organisation peut résister aux menaces de demain.

Votre organisation a-t-elle un plan d'audit convergent ? Les tests physiques associés aux tests IT sont la réponse.

Contactez nos experts

📞 Échange téléphonique découverte (30 min) : - Prenez rendez-vous pour un premier diagnostic téléphonique gratuit au 01 89 71 59 06

📧 Contact expert NIS2 : Envoyez-nous votre contexte au info@carinel.com ou https://www.carinel.com/contact, - nous vous rappelons sous 48h.

CARINEL - Cabinet de conseil en sécurité physique et sûretéOrganisme de formation certifié QUALIOPIExpert reconnu en convergence sécurité-sûreté-cybersécurité

Nos domaines d'intervention :

Accompagnement conformité NIS2, DORA, RCE
Audit convergence sécurité physique - cybersécurité
Méthodologie Red Traffic Analyses (RTA) et Security Circle Model (SCM)
Formation des équipes sécurité, sûreté et IT
Exercices de crise multi-scénarios

Références et Sources Officielles

Cet article s'appuie sur des données vérifiables et des sources officielles. Voici les références complètes :

Directive NIS2 et Transposition Française

1. Directive (UE) 2022/2555 (NIS2). Journal Officiel de l'Union Européenne, 27 décembre 2022. Articles 20, 21 et 23 définissant les obligations de cybersécurité et de sécurité physique.

2. ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) (2025). Portal MonEspaceNIS2. https://www.cyber.gouv.fr. Ressource officielle française pour l'auto-évaluation de conformité NIS2.

3. Projet de Loi « Résilience des Infrastructures Critiques » (2024-2025). Sénat français, mars 2025. Transposition française de NIS2 avec application progressive jusqu'en 2027.

Études et Rapports sur la Cybercriminalité en France

4. Guardia Cybersecurity School (janvier 2025). « Cybersécurité : les perspectives pour 2025 ». Rapport d'analyse montrant 86% des décideurs informatiques français victimes de ransomware en 2024 (vs 53% en 2023).

5. Jedha Bootcamp (Rapport 2025). « Les cyberattaques en France ». Données montrant 43% des entreprises françaises cyberattaquées en 2024.

6. CIDFP (Centre d'Information sur la Délinquance et la Prévention) (juillet 2025). « Cybercriminalité : Rapport Officiel 2025 ». Documentation des menaces hybrides combinant cyberattaques et actions physiques (coupures câbles, dégradations datacenters).

7. Zscaler (2024). Étude internationale montrant que seulement 41% des dirigeants français comprennent réellement les exigences NIS2.

Transposition et Conformité NIS2 en Europe

8. CMS Law (mars 2025). « Cybersécurité : anticiper la transposition de la directive NIS 2 ». Analyse des délais de conformité et de notification d'incidents (24h, 72h, 1 mois).

9. ITrust (décembre 2024). « Directive NIS2 : Tout ce que vous devez savoir ». Couverture des 18 secteurs d'activité concernés et critères de classification (Entités Essentielles vs Importantes).

10. PWC France & Orange Cyberdefense (2024-2025). « Directive NIS 2 : un nouveau cadre pour renforcer la cybersécurité ». Analyste montrant 10 000 à 15 000 entités françaises concernées (vs 300 sous NIS1).

11. Lockself (juillet 2025). « NIS2, DORA, CRA : Guide des nouvelles réglementations cyber 2024-25 ». Délais de conformité et obligations immédiates (enregistrement, notification d'incidents).

Tests de Pénétration et Red Teaming

12. SysDream (mai 2025). « RED Team : méthode pour tester et évaluer votre sécurité ». Documentation des phases de reconnaissance, attaque et rapport dans les audits Red Team.

13. Certilience (mars 2020). « Audit d'intrusion physique : Red Team ». Méthodologie de tests d'intrusion incluant composante physique et cyber.

14. AlgoSecure (août 2025). « Audit Red Team ». Description des techniques d'intrusion physique non destructive et installation d'implants réseau.

15. Alter Solutions (juin 2025). « L'approche Red Team : Évaluation globale de votre sécurité ». Distinction entre phases boîte noire/blanche/grise et importance de la reconnaissance préalable.

16. CyCognito (2025). « Red Teaming in 2025: The Bleeding Edge of Security Testing ». Différences entre Red Teaming et Penetration Testing, importance de l'analyse des chemins d'attaque complets.

Convergence Sécurité Physique et Cybersécurité

17. Smart Buildings Alliance (SPAC) (juin 2024). « Cybersécurité : un guide pour se préparer à la directive NIS 2 ». Focus sur sécurisation des bâtiments connectés et protection des équipements IoT (GTB, HVAC).

18. ENISA (European Union Agency for Cybersecurity) (2025). Documentation technique NIS2 et matrice de preuves attendues pour audits. Standards recommandés : ISO 27001, cadre CIS.

19. CIO Online (août 2023). « Incendie Proximus : quand la sécurité physique décide du sort de la cybersécurité ». Étude de cas : datacenter belge, 30 minutes pour rétablir urgences nationales (112, 101, 100).

Autres Ressources Pertinentes

20. Proginov (2024). « Tendances cybersécurité 2024 ». Documentation des attaques physical-to-cyber combinant intrusion physique et implantation malveillante sur réseaux internes.

21. Jerlaure (janvier 2025). « Datacenters et cybersécurité : Les menaces à anticiper en 2025 ». Compromission équipements IoT (caméras, capteurs) comme vecteurs d'accès au réseau critique.

22. Orange Cyberdefense (2025). Accompagnement conformité NIS2 pour organisations. Focus sur convergence sécurité physique et cybersécurité.

Note Méthodologique : Toutes les données chiffrées mentionnées dans cet article proviennent de sources publiques et vérifiables. Les analyses et recommandations reflètent l'expertise CARINEL en matière de sécurité physique, sûreté et méthodologies de convergence appliquées à la directive NIS2.