Comment un SaaS B2B a répondu à son premier audit de sécurité enterprise en un jour

Un SaaS d’analytique de six personnes à Berlin avait son plus gros deal de l’année bloqué en procurement. Le client était un industriel allemand dans le périmètre NIS2. Deux semaines après le début de la revue contractuelle, un e-mail est arrivé : un questionnaire de due diligence sécurité de 40 questions, avec une note indiquant que l’approbation du fournisseur en dépendait, en vertu des obligations de chaîne d’approvisionnement NIS2 Article 21 du client.

Le fondateur me l’a transféré avec une seule ligne : « Nous n’avons pas d’équipe sécurité. Nous ne pouvons pas perdre ce deal. » Voici comment ils ont répondu en un jour.

La situation : pas d’équipe, vraie pression

Les petites équipes SaaS se heurtent constamment à ce mur. Vous construisez un bon produit, vous décrochez un prospect enterprise, et son responsable NIS2 vous traite comme faisant partie de sa surface d’attaque. Le deal ne bouge pas tant que vous n’avez pas prouvé votre posture de sécurité.

L’équipe avait la configuration habituelle. AWS, une base Postgres, un site marketing, un sous-domaine applicatif. Pas de RSSI. Aucun audit antérieur. Le questionnaire demandait des preuves, pas des assurances. La moitié des questions correspondaient directement aux mesures techniques de NIS2 Article 21(2).

Étape 1 : scanner, puis voir les lacunes

Nous avons lancé un scan SaaSFort sur leur domaine principal et leur sous-domaine applicatif. 66 contrôles externes, résultats en moins d’une minute. La note est revenue à C. Pas une catastrophe, mais pas prête à passer.

Le scan a fait ressortir cinq problèmes concrets qui correspondaient directement au questionnaire :

1. TLS 1.0 encore actif sur le sous-domaine applicatif, face à l’Article 21(2)(h) sur la cryptographie. Le site marketing était propre, pas l’application.
2. Une bibliothèque JavaScript obsolète avec une CVE connue sur la page de connexion, face à l’Article 21(2)(e) sur la gestion des vulnérabilités.
3. Un tableau de bord de staging accessible depuis l’internet public, face à l’Article 21(2)(i) sur le contrôle d’accès.
4. HSTS et deux en-têtes de sécurité manquants, face à l’Article 21(2)(g) sur l’hygiène cyber.
5. Une source map exposée révélant la structure interne des fichiers, également au titre de 21(2)(e).

Chacun de ces points aurait été un échec ou une question de relance dans le DDQ. Aucun n’était coûteux à corriger.

Étape 2 : corriger les points simples en premier

L’équipe a passé la matinée à fermer quatre des cinq lacunes. Désactiver TLS 1.0 était un changement de configuration. Mettre à jour la bibliothèque JavaScript était une mise à jour de dépendance. Mettre le tableau de bord de staging derrière leur VPN a pris une heure. Ajouter les en-têtes manquants était un changement d’une ligne au niveau du edge.

La correction de la source map nécessitait un ajustement de la configuration de build, qu’ils ont planifié pour le sprint suivant et documenté comme un point connu avec une date de remédiation. Les auditeurs respectent davantage un plan daté que le silence.

À midi, un nouveau scan affichait la note A. Même domaine, mêmes 66 contrôles, quatre heures plus tard.

Étape 3 : le PDF qui a répondu au DDQ

C’est là que l’audit pack a justifié ses 39 EUR. Le rapport PDF contenait le résultat complet du scan, note A, avec chaque contrôle rattaché à sa mesure NIS2 Article 21 et à son contrôle ISO 27001 Annexe A. Il était daté, mentionnait le domaine, et restait lisible par quelqu’un qui n’est pas ingénieur.

Le fondateur l’a joint au questionnaire et a répondu aux questions techniques en citant des sections du rapport. Quand le DDQ demandait « décrivez votre chiffrement en transit », la réponse pointait vers la section TLS montrant uniquement 1.2 et 1.3. Quand il demandait la gestion des vulnérabilités, la réponse pointait vers le scan de bibliothèques propre, plus un SLA de correctifs en un paragraphe. Le rapport faisait l’essentiel du travail parce qu’il parlait le langage de l’auditeur : contrôle, preuve, statut.

Pour les questions sur la chaîne d’approvisionnement, l’équipe a complété le rapport avec le guide disponible dans comment prouver la posture de sécurité lors d’un appel d’audit NIS2.

Le résultat

Le responsable du client a répondu trois jours plus tard avec deux points de suivi mineurs, puis a approuvé le fournisseur. Le deal a été signé la même semaine. La dépense totale côté sécurité : 39 EUR plus une demi-journée de développement pour les corrections.

La leçon n’est pas qu’un scan remplace un programme de sécurité. Un SaaS en croissance a quand même besoin de vraies pratiques sur le long terme, et un scan externe ne dit rien de la gouvernance interne, des flux authentifiés ou de la logique applicative. La leçon, c’est qu’une petite équipe peut produire des preuves crédibles et rattachées à des contrôles le jour même où le questionnaire arrive, au lieu de bloquer le deal trois semaines pendant qu’elle essaie de comprendre ce qu’un auditeur attend. Si vous avez une échéance fixe, la checklist NIS2 audit 30 jours séquence le même travail.

Agir avant votre prochain deal enterprise

Si vous vendez à des entreprises européennes, le questionnaire finira par arriver. Lancez le scan gratuit maintenant pour connaître votre note avant que votre client ne la découvre. Corrigez les points simples. Ensuite, quand le DDQ arrive, achetez le PDF rattaché aux contrôles et répondez-y le jour même.

L’audit pack coûte 39 EUR, une fois, sans abonnement, sans carte sur le premier scan. Consultez un exemple réel : rapport d’audit NIS2 SaaSFort (PDF).

Obtenir votre pack de preuves NIS2 pour 39 EUR

FAQ

Nous sommes une toute petite équipe sans personnel sécurité. Est-ce suffisant ? Pour la moitié technique d’un questionnaire de chaîne d’approvisionnement NIS2, le rapport couvre ce qu’un examinateur externe peut observer : chiffrement, vulnérabilités, exposition des accès et hygiène. Il ne remplace ni la gouvernance interne, ni un test d’intrusion, mais il permet à une petite équipe de passer le DDQ technique sans consultant.

Combien de temps prend l’ensemble du processus ? Le scan prend moins d’une minute. Corriger les lacunes courantes comme TLS, les en-têtes et le staging exposé prend généralement quelques heures. La génération du PDF est instantanée. Un traitement le jour même est réalisable pour la plupart des configurations SaaS.

39 EUR, c’est vraiment en une seule fois ? Oui. Lancez le scan gratuit, voyez votre note, achetez l’audit pack seulement quand vous avez besoin du document. Aucun frais récurrent sur le pack à usage unique.