La plupart des guides d'achat commencent par la liste des prestataires. C'est le mauvais ordre. En France, l'essentiel du budget mal dépensé vient de trois idées fausses sur le texte.
Cet article commence donc par le texte. Chaque fait renvoie à sa source et à la date affichée sur cette source.
Vérifié le 19 août 2026.
Idée fausse n° 1 : « NIS2 impose un test d'intrusion »
Au 19 août 2026, la loi de transposition n'est pas adoptée.
Le parcours parlementaire, vérifié sur les deux dossiers officiels :
- Le Sénat a adopté le texte n° 78 le 12 mars 2025, puis l'a transmis à l'Assemblée nationale le 13 mars 2025. Page mise à jour le 17 mars 2026.
- À l'Assemblée nationale, la dernière étape publiée est le « Texte de la commission, n° 1779-A0, déposé le mercredi 10 septembre 2025 ».
Pas de séance publique. Pas de commission mixte paritaire. Pas de promulgation.
L'ANSSI l'écrit elle-même sur Mon Espace NIS 2 : « La transposition de la directive NIS 2 en France est en cours. »
Le ReCyF est un document de travail
Le 17 mars 2026, l'ANSSI a publié le Référentiel Cyber France (ReCyF), version 2.5. Le document porte le filigrane « DOCUMENT DE TRAVAIL ».
L'ANSSI le décrit ainsi :
« Le ReCyF, diffusé à ce stade en tant que document de travail, correspond au référentiel de cybersécurité mentionné à l'article 14 du projet de loi Résilience. Ce référentiel, par défaut non-obligatoire, permettra aux futurs assujettis qui décident de l'appliquer de s'en prévaloir en cas de contrôle de l'ANSSI. »
Et même dans le ReCyF, le pentest est une option sur cinq
L'objectif de sécurité 17 porte sur l'audit. Sa mesure 17.3-EE dit, mot pour mot :
« Sans préjudice d'autres obligations légales et réglementaires, l'audit de sécurité comprend au minimum une activité parmi les suivantes : un test d'intrusion (couvrant au minimum les interfaces exposées à des systèmes sous la responsabilité de l'entité pour lesquels elle a décidé de ne pas appliquer les objectifs de sécurité ainsi qu'à des systèmes d'information tiers), un audit de configuration, un audit d'architecture, un audit organisationnel et physique et, lorsque cela est pertinent, un audit de code. »
Trois précisions qui changent tout pour un acheteur :
- Le suffixe -EE signifie entités essentielles. Le ReCyF précise : « En application du principe de proportionnalité, les objectifs 16 à 20 ne sont applicables qu'aux EE. » Les entités importantes ne sont pas visées.
- Le test d'intrusion est une activité parmi cinq, pas une obligation autonome.
- PASSI y est un moyen de preuve, pas une obligation : les entités essentielles « peuvent se prévaloir lors d'un contrôle du recours à une prestation d'audit en sécurité des systèmes d'information (PASSI), qualifiée par l'ANSSI ».
Les seuils, pour situer votre organisation : entité essentielle si elle emploie « au moins 250 personnes ou ont un chiffre d'affaires annuel supérieur à 50 millions d'euros et un bilan annuel supérieur à 43 millions d'euros » ; entité importante si elle n'est pas essentielle et emploie « au moins 50 personnes ou ont un chiffre d'affaires et un bilan annuel supérieur à 10 millions d'euros ».
Idée fausse n° 2 : « l'ACPR impose un test d'intrusion »
Elle ne l'impose pas. Sa notice sur la gestion du risque informatique, version du 7 juillet 2021, impose un cadre de test, puis ajoute au point 24 :
« À titre de bonne pratique, les tests peuvent notamment prendre les formes suivantes : […] o Des tests d'intrusion dans les systèmes informatiques essentiels ou importants qui peuvent être, selon les cas, des tests d'intrusion fondés sur une recherche préalable des menaces (« TLPT », Thread-led penetration test). »
L'ACPR recommande aussi, toujours « à titre de bonne pratique », un second test pour valider les corrections du premier.
L'arrêté du 3 novembre 2014, dont le Titre VI bis sur le risque informatique est toujours en vigueur, ne contient ni « test d'intrusion », ni « pénétration », ni « audit de sécurité ».
L'obligation vient de DORA, pas de l'ACPR :
- Article 24(6) : les entités autres que microentreprises s'assurent « at least yearly, that appropriate tests are conducted on all ICT systems and applications supporting critical or important functions ».
- Article 25(1) cite le « penetration testing » dans la liste des tests possibles.
- Article 26(1) : les entités identifiées « shall carry out at least every 3 years advanced testing by means of TLPT ».
La FAQ DORA de l'ACPR, mise à jour le 27 juillet 2026, tranche deux questions fréquentes :
« Q-D7 : Une campagne annuelle de tests d'intrusion internes et externes peut-elle être considérée comme une équivalence aux TLPT ? Non, en aucun cas : un TLPT est un exercice bien spécifique qui doit se faire avec l'accompagnement de l'autorité TLPT compétente. »
Et sur le déclenchement, dans la FAQ du webinaire du 20 mars 2026 :
« Tant qu'aucune lettre d'identification n'a été reçue par l'entité financière de la part de l'autorité de supervision, l'entité n'est pas assujettie aux exigences de l'article 26 DORA. »
L'ACPR précise aussi que « La liste des entités soumises aux TLPT DORA est confidentielle et ne sera pas rendue publique. »
Idée fausse n° 3 : « il faut forcément un prestataire PASSI »
L'obligation est plus étroite qu'on ne le dit. Voici les cas réels.
| Situation |
PASSI obligatoire ? |
| Qualification SecNumCloud |
Oui, et les tests d'intrusion sont imposés |
| Contrôle d'un OIV quand le Premier ministre désigne un prestataire |
Oui, choisi sur la liste ANSSI |
| TIBER-FR avec drapeaux sur des systèmes SIIV |
Oui, PASSI LPM |
| Audit d'homologation d'un SIIV, secteur Finances |
Non, l'opérateur peut s'auditer lui-même |
| Futur cadre NIS2 / ReCyF |
Non, c'est un moyen de preuve |
| Contrat privé sans exigence nommée |
Non |
SecNumCloud : l'exigence française la plus stricte
Le référentiel SecNumCloud v3.2 du 8 mars 2022 impose trois revues, toutes confiées à un PASSI qualifié.
Exigence 18.2.1 a), revue continue :
« Le prestataire doit inclure dans le programme d'audit un audit qualifié par an réalisé par un prestataire d'audit de la sécurité des systèmes d'information [PASSI] qualifié. L'ensemble du programme d'audit doit notamment couvrir : […] le test d'intrusion des interfaces d'administration exposées sur un réseau public ; le test d'intrusion de l'interface utilisateur pour les services SaaS […] »
Exigence 18.2.2 a) impose une revue initiale avant la qualification, et 18.2.3 a) une revue à chaque changement majeur.
OIV : le contrôle, et l'exception d'auto-audit
L'article L. 1332-6-3 du code de la défense :
« Les contrôles sont effectués par l'autorité nationale de sécurité des systèmes d'information ou par des services de l'Etat désignés par le Premier ministre ou par des prestataires de service qualifiés par ce dernier. Le coût des contrôles est à la charge de l'opérateur. »
L'article R. 1332-41-16 ajoute que l'ANSSI « met à la disposition du public par voie électronique la liste des prestataires de service qualifiés ».
Mais pour l'homologation d'un SIIV, l'arrêté du 28 novembre 2016 du secteur Finances, annexe I règle 2, dit l'inverse :
« Dans le cadre de l'homologation, un audit de la sécurité du SIIV doit être réalisé. […] Il comporte notamment la réalisation d'un audit d'architecture, d'un audit de configuration, d'un audit organisationnel et physique et de tests de vulnérabilité et d'intrusion. »
« L'opérateur peut réaliser lui-même l'audit ou recourir à un prestataire qualifié […] »
TIBER-FR : PASSI LPM seulement si des drapeaux visent un SIIV
Le guide d'implémentation TIBER-FR, version 2, mars 2025, cosigné Banque de France, ACPR et AMF, est précis :
« in the context of a TIBER-FR test, shall the CT of the OIV entity decide to set flag(s) on SIIV systems, a formal list of certified suppliers in charge of auditing SIIV systems published by the ANSSI, known as the PASSI LPM, enables the entity to fulfill security requirements […] Moreover, the selected TI and RT providers are not allowed to delegate the work to sub-contractors which are not PASSI LPM certified and are not based in the EU. »
« In addition, if no flags are set on SIIV systems by the CT of the OIV entity then it is only recommended to select TI and RT providers which are PASSI-RGS certified and are based in the EU. »
Le guide rappelle aussi que « the TI and RT teams must remain independent from each other », et qu'un test TIBER-FR est en général mené sur un cycle de trois ans.
PASSI en chiffres, au 13 août 2026
L'ANSSI ne publie pas de tableau HTML. La seule liste officielle est le catalogue PDF, mis à jour au moins une fois par mois. La version lue ici porte « Catalogue mis à jour le 13/08/2026 ».
Section 3.1.2.1, mot pour mot :
« Les prestataires d'audit de la sécurité des systèmes d'information sont qualifiés au titre de l'article 14 du décret n°2015-350 pour l'une ou plusieurs des activités suivantes :
• audit organisationnel et physique,
• audit d'architecture,
• audit de configuration,
• audit de code source,
• tests d'intrusion. »
Notre relevé de la table du catalogue :
| Mesure |
Nombre |
| Prestataires PASSI listés au total |
66 |
| Qualifiés pour les tests d'intrusion |
58 |
| Qualifiés « sécurité nationale » (PASSI LPM) |
25 |
| Qualifiés pour l'audit de code source |
45 |
L'ANSSI ne publie pas ces totaux. Ce sont nos comptages sur la table du 13 août 2026.
Trois conséquences pratiques :
- Vérifiez la colonne, pas le logo. Huit prestataires qualifiés PASSI ne portent pas la mention tests d'intrusion.
- PASSI et PASSI LPM ne sont pas la même chose. La mention « sécurité nationale » couvre, selon la note 14 du catalogue, « les prestations sur les Systèmes d'Information d'Importance Vitale (SIIV) des Opérateurs d'Importance Vitale (OIV) ».
- Vérifiez la date de fin. Le décret n° 2015-350 prévoit que « La qualification est valable pour une durée maximale de trois ans ».
Depuis la version 2.2 du référentiel, datée du 1er août 2024, il existe deux niveaux. L'ANSSI, le 29 novembre 2024 :
« Les nouveaux référentiels permettent d'assurer une cohérence avec les travaux actuellement menés dans le cadre du règlement européen dit « CyberSecurity Act » avec l'apparition de deux niveaux de qualification : élevé et substantiel. »
Le référentiel définit le test d'intrusion et impose une capacité précise :
« Le test d'intrusion consiste à évaluer le niveau de sécurité d'un système d'information en identifiant, et le cas échéant en exploitant, des vulnérabilités. »
« [INTRUSION] Le prestataire doit être capable de réaliser un test d'intrusion selon les trois modes : boite noire, boite grise, boite blanche. »
Aucune certification individuelle n'est exigée en France
Nous avons cherché OSCP, CREST, CEH, GIAC, OSCE et GPEN dans cinq documents officiels : le référentiel PASSI v2.2, le référentiel SecNumCloud v3.2, le ReCyF v2.5, le guide TIBER-FR version 2 et le catalogue ANSSI du 13 août 2026.
Zéro occurrence dans chacun.
L'ACPR le confirme par écrit dans sa FAQ DORA :
« ni DORA ni TIBER-EU ne spécifient les certifications attendues pour les testeurs. Toutefois, nous vous rappelons que l'ANSSI requiert des prestataires qu'ils soient qualifiés PASSI LPM pour intervenir sur les systèmes d'importance vitale (SIIV) des opérateurs d'importance vitale (OIV) et conseille, dans les autres cas, le recours à des prestataires qualifiés PASSI RGS. »
Le référentiel PASSI se limite à deux recommandations, chapitre V.3 :
« Il est recommandé que les auditeurs et responsables d'équipe aient reçu une formation en sécurité des systèmes d'information. »
« Il est recommandé que les auditeurs et responsables d'équipe justifient d'au moins d'une année d'expérience dans le domaine de l'audit de la sécurité des systèmes d'information. »
Les deux disent « il est recommandé ». La qualification française porte sur l'entreprise, pas sur la personne. Il n'existe aucune licence individuelle de pentester en France.
La France teste moins que ses voisins
Eurostat mesure la part des entreprises réalisant des tests de sécurité informatique. Données 2024, jeu mis à jour le 15 juin 2026.
| Pays et taille |
Part 2024 |
| France, 10 salariés et plus |
26,52 % |
| France, 10 à 49 salariés |
22,59 % |
| France, 50 à 249 salariés |
44,18 % |
| France, 250 salariés et plus |
70,60 % |
| Moyenne UE27, 10 et plus |
34,64 % |
| Pays-Bas |
53,39 % |
| Allemagne |
42,51 % |
| Italie |
31,77 % |
| Espagne |
30,66 % |
Source : Eurostat, table isoc_cisce_ra.
La France est environ 8 points sous la moyenne européenne, et derrière l'Espagne et l'Italie. Chez les PME de 10 à 49 salariés, plus de trois sur quatre ne testent pas.
Attention à la définition. Eurostat inclut dans cet indicateur, selon son propre communiqué, les « ICT security tests (e.g. performing penetration tests, testing security alert system, review of security measures, testing of backup systems) ». Ce n'est donc pas un taux de recours au test d'intrusion.
Ni l'ANSSI ni l'INSEE ne publient un tel taux. Le Panorama de la cybermenace 2025, publié le 11 mars 2026, n'en contient aucun.
Cinq questions qui tranchent le choix
Si aucun texte ne vous impose rien, vous choisissez sur le fond.
- Le prestataire prouve-t-il chaque finding par une exploitation ? La sortie d'un scanner présentée comme un pentest est la façon la plus courante d'en avoir pour moins que son argent.
- Le rapport est-il rattaché à vos contrôles ? Un PDF technique non rattaché, c'est du travail à faire ensuite, pas une preuve.
- Quelle sera la fraîcheur de la preuve ? Un rapport décrit une journée. Si vous livrez chaque semaine, vous ne savez rien du reste de l'année.
- Le re-test est-il compris ? Aucun prestataire français que nous avons vérifié ne publie son prix. Demandez-le par écrit.
- Obtenez-vous un prix sans rendez-vous commercial ? Cinq prestataires seulement publient une grille. Voir le prix d'un test d'intrusion en France.
Où se situe Matproof Sentinel, et où il ne se situe pas
Matproof Sentinel est une plateforme de test d'intrusion pilotée par IA. Les prix sont publics : 149 € par run unique, 299 € par mois, 1 490 € par mois, et sur mesure pour l'entreprise. Voir tarifs.
Dix agents spécialisés testent par étapes, puis un ValidatorAgent rejoue chaque finding et le marque VALIDATED, UNVERIFIED ou FALSE_POSITIVE. La méthode est publique sur docs.matproof.com.
Soyons clairs sur ce que Sentinel n'est pas.
- Il n'y a aucun pentester humain. Chaque finding vient d'un agent IA et est vérifié par un autre agent IA.
- Matproof n'est pas qualifié PASSI, donc pas non plus PASSI LPM.
- Matproof ne peut pas réaliser l'audit qualifié annuel de SecNumCloud, qui impose un PASSI qualifié.
- Matproof ne remplit pas les exigences d'un TLPT sous DORA article 26 ni d'un exercice TIBER-FR.
- Matproof n'est pas membre CREST et n'emploie aucun testeur certifié OSCP que nous mettrions en avant.
- Sentinel ne fait aucune ingénierie sociale, aucun phishing, aucune intrusion physique, aucune recherche de zero-day.
N'achetez donc pas Sentinel si vous visez SecNumCloud, si vous êtes OIV et qu'un contrôle est déclenché, si votre autorité TLPT vous a envoyé une lettre d'identification, ou si un marché public nomme PASSI. Prenez l'un des 58 prestataires PASSI qualifiés pour les tests d'intrusion.
Achetez Sentinel si vous livrez souvent, s'il vous faut des preuves à jour entre deux missions annuelles, et si votre auditeur veut voir que les tests tournent toute l'année.
La plupart des équipes matures font les deux. Une mission qualifiée par an pour la signature. Des tests automatisés continus entre les deux pour la preuve.
Questions fréquentes
NIS2 impose-t-elle un test d'intrusion en France ?
Non, et pas encore. La loi n'est pas adoptée au 19 août 2026. Le ReCyF est un document de travail, son objectif 17 ne vise que les entités essentielles, et le test d'intrusion y est une option parmi cinq.
L'ACPR impose-t-elle un test d'intrusion ?
Non. Sa notice impose un cadre de test et présente le test d'intrusion « à titre de bonne pratique ». L'obligation vient de DORA.
Combien de prestataires PASSI sont qualifiés pour les tests d'intrusion ?
58 sur les 66 listés au catalogue ANSSI du 13 août 2026, selon notre relevé. 25 portent en plus la mention « sécurité nationale ».
Faut-il un pentester certifié OSCP ou CREST en France ?
Aucun texte français ne les nomme. L'ACPR le confirme. La qualification PASSI porte sur l'entreprise, pas sur la personne.
Qu'exige SecNumCloud ?
Un audit qualifié par an réalisé par un PASSI qualifié, incluant explicitement le test d'intrusion des interfaces d'administration exposées et, pour un SaaS, de l'interface utilisateur.
Pour aller plus loin
Prêt à passer à l'action ? Matproof exécute des tests d'intrusion pilotés par IA en continu, avec des prix publics. Demandez une démo.