Tests de sécurité : ce que NIS2 et le Cyber Resilience Act changent pour les testeurs

Les entreprises européennes doivent mieux prouver que leurs logiciels résistent aux attaques. Deux textes de l'Union européenne, NIS2 et le Cyber Resilience Act, y poussent chacun à sa manière. Cet article regarde ce qu'ils disent vraiment, ce que montrent les chiffres de l'ENISA, et ce qu'un testeur peut apprendre pour répondre à ce besoin.

Un point avant tout : un test de sécurité ne se fait que sur un système que l'on est autorisé à tester, avec l'accord écrit de son propriétaire. Tout ce qui suit, y compris la formation, repose sur cette règle.

Ce que disent les textes européens

NIS2 : des exigences de cybersécurité pour davantage d'entreprises

Selon la page de la Commission européenne sur NIS2, la directive couvre 18 secteurs critiques (énergie, transport, santé, finance, infrastructures numériques, administration publique, espace, entre autres). Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national. La même page indique que la direction des entreprises concernées est tenue responsable du respect des mesures de gestion des risques de cybersécurité.

La Commission a aussi proposé, le 20 janvier 2026, des modifications ciblées de la directive. Le sujet bouge donc encore. Le calendrier de transposition diffère d'un pays à l'autre : pour la France, la Belgique et le Luxembourg, vérifiez l'état de la loi nationale auprès de l'autorité compétente. La Suisse n'est pas membre de l'Union européenne : ces textes ne s'y appliquent pas directement, mais ils concernent les entreprises suisses qui travaillent avec des clients européens. Cet article n'est pas un avis juridique.

Cyber Resilience Act : la sécurité des produits numériques

D'après la page de la Commission sur le CRA, le règlement est entré en vigueur le 10 décembre 2024. Il concerne les produits matériels et logiciels « avec éléments numériques », des objets connectés aux applications. Les fabricants doivent traiter la sécurité à chaque étape : conception, développement, maintenance, et gestion des vulnérabilités pendant toute la vie du produit.

Deux dates comptent : les obligations de notification s'appliquent depuis le 11 septembre 2026, et les obligations principales s'appliqueront le 11 décembre 2027. Pour une équipe produit, cela veut dire une chose concrète : des vulnérabilités à repérer avant la mise en vente, pas seulement après.

Ce que montrent les chiffres de l'ENISA

Dans son panorama des menaces 2025 (communiqué du 1er octobre 2025), l'agence européenne analyse 4 875 incidents survenus entre le 1er juillet 2024 et le 30 juin 2025. Parmi les points d'entrée des intrusions, deux dominent : l'hameçonnage (environ 60 %) et l'exploitation de vulnérabilités (21,3 %). L'ENISA relève aussi que 53,7 % des incidents concernaient des entités essentielles au sens de NIS2.

Ces chiffres ne disent pas que tout se joue dans le code : l'hameçonnage reste le premier chemin d'entrée. Mais un cinquième des intrusions passe par une faille que quelqu'un aurait pu trouver avant. C'est exactement le terrain du test de sécurité.

OWASP Top 10 : la version 2025

L'OWASP publie une liste des dix risques les plus sérieux pour les applications web. La version actuelle date de 2025. Ses dix catégories :

1. A01 Broken Access Control (contrôle d'accès défaillant)
2. A02 Security Misconfiguration (mauvaise configuration de sécurité)
3. A03 Software Supply Chain Failures (défaillances de la chaîne d'approvisionnement logicielle)
4. A04 Cryptographic Failures (défaillances cryptographiques)
5. A05 Injection
6. A06 Insecure Design (conception non sécurisée)
7. A07 Authentication Failures (défaillances d'authentification)
8. A08 Software or Data Integrity Failures (défaillances d'intégrité des logiciels ou des données)
9. A09 Security Logging and Alerting Failures (défaillances de journalisation et d'alerte)
10. A10 Mishandling of Exceptional Conditions (mauvaise gestion des conditions exceptionnelles)

Deux nouveautés par rapport à l'édition précédente : la chaîne d'approvisionnement logicielle (A03) et la gestion des conditions exceptionnelles (A10). L'OWASP précise que la catégorie « Injection » va du XSS (fréquent, impact plutôt faible) à l'injection SQL (plus rare, impact élevé). Les traductions entre parenthèses sont les nôtres.

Ce que fait concrètement un testeur de sécurité

Pas de magie : il s'agit de poser, sur un environnement autorisé, les questions qu'un attaquant poserait. Un utilisateur peut-il ouvrir les données d'un autre en changeant un identifiant dans l'adresse ? Un champ de formulaire accepte-t-il du code ? Un message d'erreur en dit-il trop ? Les mots de passe et les sessions sont-ils bien protégés ?

• Lire une liste de risques comme l'OWASP Top 10 et en tirer des cas de test.
• Tester les entrées : injections SQL, XSS, CSRF.
• Écrire un constat clair : ce qui a été testé, ce qui a été trouvé, comment le reproduire, quel risque pour l'entreprise.
• Rester dans le cadre : périmètre défini, autorisation écrite, environnement de test.

C'est un complément naturel du métier de testeur : la démarche (préparer, exécuter, rapporter) est la même, seul l'angle change. Nous n'affirmons pas qu'une formation suffit à faire un spécialiste : l'expérience sur le terrain compte autant.

La spécialisation Sec Test (Testeur de Sécurité)

Voici ce que dit la page de la spécialisation, et rien de plus :

• Contenu : les risques OWASP Top 10 et les tests liés aux injections SQL, au XSS et au CSRF.
• Durée : 399 h sur 3 mois.
• Format : 100 % en ligne, avec un mentorat individuel.
• Accès : plateforme pendant 6 mois, replays pendant 24 mois.
• Session : annoncée en décembre ; la date exacte se confirme avec un conseiller.

Tarif : 1 500 € TTC pour les particuliers, un prix d'ouverture, payable en 1 à 4 fois sans frais. Pour les entreprises, 7 500 € TTC. Les prérequis et les modalités de validation se confirment avec ADC.

Certification : pour les spécialisations, les certifications ne sont pas encore définies sur le site et se confirment avec ADC. Nous ne promettons donc aucune certification pour ce parcours.

Financement : ADC n'est pas éligible pour l'instant au CPF ni aux aides de France Travail ou des OPCO. Le paiement en plusieurs fois et le financement par l'entreprise sont possibles : voir la page financement.

Questions fréquentes

Article signé par Oussama Belakhdar, rédigé avec l'aide de l'IA. Les dates et chiffres viennent des sources ci-dessus, consultées le 19 octobre 2026. Ce contenu est informatif et ne constitue pas un avis juridique.